Две уязвимости ядра Linux с рейтингом 9,8 по шкале CVSS 3.1 затрагивают Red Hat Enterprise Linux, Ubuntu, Debian GNU/Linux и РЕД ОС. Одна ошибка находится в сетевом планировщике CoDel, вторая - в коде RAID10. По данным Банка данных угроз безопасности информации (BDU), обе позволяют злоумышленнику, действующему удалённо, влиять на конфиденциальность, целостность и доступность защищаемых данных. При этом учётная запись и действия пользователя не нужны. Вендоры подтвердили уязвимости, исправления вышли.
Две уязвимости ядра Linux с рейтингом 9,8
Сетевой планировщик CoDel
Первая уязвимость - BDU:2026-16629 (CVE-2026-74267). Она затрагивает алгоритм управления очередями сетевых пакетов CoDel. В BDU класс ошибки описан как недостаточное управление потоком (CWE-691). Речь о сбое в логике, которая задаёт порядок выполнения операций; из-за него злоумышленник может манипулировать структурами данных. При этом вектор атаки сетевой, сложность низкая, привилегии не требуются. По CVSS 3.1 уязвимость получает 9,8; кроме того, по CVSS 2.0 - 10. Дата выявления - 10 июня 2026 года.
Ошибка в коде RAID10
Вторая уязвимость - BDU:2026-16676 (CVE-2026-74376). Она связана с подсистемой RAID10, которая объединяет зеркалирование и чередование дисков. Класс ошибки тот же - недостаточное управление потоком. Оценка по CVSS 3.1 также 9,8, по CVSS 2.0 - 10. При этом бюллетень относит эту уязвимость к удалённо эксплуатируемым, хотя RAID10 обычно обслуживает локальные дисковые массивы. Способ эксплуатации - манипулирование структурами данных. Дата выявления - 15 мая 2026 года.
Затронутые дистрибутивы и ветки ядра
Первая уязвимость затрагивает Red Hat Enterprise Linux 7 и 8, вторая - RHEL 8, 9 и 10. В записях BDU фигурируют Ubuntu 16.04, 18.04, 20.04, 22.04, 24.04 и 26.04 LTS, Debian GNU/Linux с 9 по 13, а также РЕД ОС 7.3 и 8.0. Проблемные диапазоны ядра Linux охватывают ветки от 5.4 до 7.1. Совпадение по Ubuntu, Debian и РЕД ОС означает, что обновление потребуется и на серверах, и на рабочих станциях.
Ядро работает на серверах, виртуальных машинах, сетевых шлюзах и рабочих станциях. Ошибка в сетевом планировщике затрагивает обработку трафика, ошибка в RAID10 - работу с дисками. Поэтому последствия могут проявиться и в доступности сервисов, и в целостности данных. Для организаций с длительным сроком службы LTS-систем важна скорость установки обновления: поддержка старых веток не отменяет риска.
Обе уязвимости подтверждены производителями. Наличие эксплойта в BDU не подтверждено: статус - данные уточняются. Пока сведений о реальных атаках с этими CVE в исходных материалах нет.
Обновления для дистрибутивов
Исправления внесены в стабильные ветки ядра Linux. Дистрибутивы подготовили обновлённые пакеты. Администраторам нужно установить актуальное ядро штатными средствами и перезагрузить систему, иначе новая версия не вступит в силу. Также для РЕД ОС пакеты доступны в репозиториях обновлений 7.3 и 8.0. Для Debian, Ubuntu и Red Hat нужно проверить страницы безопасности по CVE-2026-74267 и CVE-2026-74376 и сверить версию ядра на всех узлах.
Обе уязвимости относятся к классу CWE-691 и имеют одинаковые векторы. Совпадение оценок и условий эксплуатации делает их заметным случаем для парка LTS-систем. Исправления нужны и на периметре, и внутри сети: ошибка в сетевом планировщике и сбой в RAID10 затрагивают разные участки инфраструктуры.
Ссылки
- https://bdu.fstec.ru/vul/2026-16629
- https://bdu.fstec.ru/vul/2026-16676
- https://www.cve.org/CVERecord?id=CVE-2026-74267
- https://www.cve.org/CVERecord?id=CVE-2026-74376
- https://git.kernel.org/stable/c/52f1da34c9f4d5bdc1e8b44242da5c7ba8db85f3
- https://git.kernel.org/stable/c/755108bb7a5083e911294c416cfea605dc75632f
- https://git.kernel.org/stable/c/7a05af7f58566682b73578b72ca8e53a268c43bd
- https://git.kernel.org/stable/c/91e0a793a72374c20ab31a40ccec21373e82e973
- https://git.kernel.org/stable/c/bb9cfd874ee884117b33e92a002b9a45b48202f4
- https://git.kernel.org/stable/c/e4615aa6bb7802944ae790cb4b3ef8c1b7491af3
- https://git.kernel.org/stable/c/e8c6dbadf139cb14ea6ed14add6ed6e88504dedd
- https://git.kernel.org/stable/c/eba49fd85995a3851c597fa2d214f8d21736e1d8
- https://github.com/advisories/GHSA-f72g-gj5h-9p7f
- http://repo.red-soft.ru/redos/7.3c/x86_64/updates/
- http://repo.red-soft.ru/redos/8.0/x86_64/updates/
- http://repo.red-soft.ru/redos/8.0/aarch64/updates/
- https://security-tracker.debian.org/tracker/CVE-2026-74267
- https://access.redhat.com/security/cve/CVE-2026-74267
- https://ubuntu.com/security/CVE-2026-74267
- https://kernel.googlesource.com/pub/scm/linux/security/vulns/%2B/ffaa1b4ec1ea8813a90a5a6f9f577958c848a33c/cve/published/2026/CVE-2026-74267.mbox
- https://git.kernel.org/stable/c/3cb2a606ce4902eceabe68338df0653312f861f8
- https://git.kernel.org/stable/c/561c9711e4f545d6464a023168bdee03b00fa945
- https://git.kernel.org/stable/c/6b8a26af065ddc93de2aa5c9f0df98dce9723442
- https://git.kernel.org/stable/c/742e4afd247d9c972695227716b03d432a7e1d26
- https://git.kernel.org/stable/c/b7313f23ea5a79b199a007bfad64a866cc2c22e7
- https://git.kernel.org/stable/c/ce3030e92f14362880055de5fe3c258971118853
- https://git.kernel.org/stable/c/eb04e3e9c14ed15914f5fd2eae8b6435f54f095f
- https://github.com/advisories/GHSA-4w7v-gf5r-fhph
- https://security-tracker.debian.org/tracker/CVE-2026-74376
- https://access.redhat.com/security/cve/CVE-2026-74376
- https://ubuntu.com/security/CVE-2026-74376
