Две уязвимости ядра Linux с оценкой 9,8 затрагивают Debian, Ubuntu, RHEL и РЕД ОС

Обе уязвимости в ядре Linux допускают удалённое воздействие на конфиденциальность, целостность и доступность систем. Каждая получила 9,8 балла по CVSS 3.1 и 10 по CVSS 2.0. Банк данных угроз безопасности информации (BDU) относит их к критическому уровню опасности. В зоне риска Debian, Ubuntu, Red Hat Enterprise Linux, РЕД ОС и основная ветка ядра. Производители подтвердили проблемы и подготовили исправления.

Две уязвимости ядра Linux и затронутые дистрибутивы

Вектор атаки у обеих одинаковый: сеть, отсутствие привилегий, отсутствие действий пользователя. Оценки воздействия на все три свойства защищаемой информации помечены как высокие. Сведений об эксплойтах в открытых источниках пока нет, статус BDU описывает как уточняемый. Обе проблемы относятся к классу уязвимостей кода, то есть к ошибкам в самом ядре, а не в конфигурации.

Ошибка вычислений в подсистеме SRPT

Первая уязвимость, BDU:2026-16687 (CVE-2026-74394), находится в функции srpt_get_desc_tbl() компонента SRPT. Этот компонент относится к подсистеме удалённого доступа к блочным устройствам через RDMA (прямой доступ к памяти удалённого узла). Проще говоря, он позволяет отдавать дисковые ресурсы сервера по сети. Ошибка связана с некорректным вычислением при разборе таблицы дескрипторов. Тип ошибки BDU классифицирует как неверные вычисления.

Атакующий, работающий удалённо, получает возможность повлиять на конфиденциальность, целостность и доступность данных. Способ эксплуатации описан как манипулирование ресурсами. Под уязвимую версию попадают ядра Linux от 5.0 до 5.10.261, от 5.11 до 5.15.212, от 5.16 до 6.1.178, от 6.2 до 6.6.145, от 6.7 до 6.12.97, от 6.13 до 6.18.40 и от 6.19 до 7.1.5.

Дистрибутивы затронуты почти все крупные: Debian с 9 по 13, Ubuntu с 18.04 по 26.04 LTS, Red Hat Enterprise Linux с 8 по 10, РЕД ОС 7.3 и 8.0. Практический риск выше там, где SRPT включён и доступен из недоверенных сегментов сети. На серверах без этого компонента поверхность атаки заметно уже.

Сбой при проверке адресов IPv6

Вторая уязвимость, BDU:2026-16689 (CVE-2026-74398), касается функции addrconf_dad_failure() в модуле обработки IPv6. Она срабатывает, когда проверка уникальности адреса в локальном сегменте завершается неудачей. Класс ошибки иной: BDU указывает недостаточное управление потоком. Способ эксплуатации описан как манипулирование структурами данных.

Последствия те же: удалённый злоумышленник может повлиять на конфиденциальность, целостность и доступность информации. Оценка 9,8 по CVSS 3.1 сохраняется, поскольку для атаки не нужны ни учётные записи, ни действия пользователя. Список уязвимых версий здесь шире: кроме перечисленных выше веток, в него входят ядра от 3.14 до 5.10.261 и от 3.10.105 до 3.10.108 включительно. Из дистрибутивов добавляются Red Hat Enterprise Linux 7 и Ubuntu 16.04 LTS.

Сетевой характер обеих проблем определяет главное условие защиты. Там, где IPv6 включён на пограничных интерфейсах, фильтрация служебного трафика обнаружения соседей снижает вероятность эксплуатации. Изоляция сегментов с недоверенными узлами даёт тот же эффект.

Почему это важно за пределами узкого круга

Ядро лежит в основе почти любого серверного и клиентского окружения. Ошибка в нём не требует установки стороннего приложения и не оставляет следов в журналах самого приложения. Обе уязвимости затрагивают удалённо доступные подсистемы, поэтому один неверно сформированный запрос может дойти до уязвимого кода по обычной сети.

Отдельный риск создаёт длительный цикл поддержки дистрибутивов. Debian, Ubuntu LTS, RHEL и РЕД ОС используются в инфраструктуре годами, и обновление ядра там требует планирования. Между публикацией исправления и перезагрузкой парка машин проходит заметное время. Именно этот промежуток опасен, если сведения об уязвимости уже раскрыты.

Что делать администраторам

Владельцам Debian стоит проверить бюллетени проекта по идентификатору CVE-2026-74394 и CVE-2026-74398: там указаны точные версии пакетов. Пользователям Ubuntu нужны обновления из официального трекера безопасности. Для RHEL исправления доступны через каталог Red Hat, для РЕД ОС - через репозитории обновлений 7.3 и 8.0, включая сборки для архитектуры aarch64.

Проверить текущую версию ядра можно командой uname -r. После установки обновления нужна перезагрузка, иначе уязвимый код останется в памяти. На узлах, где SRPT не используется, разумно не загружать соответствующий модуль. Для IPv6 при отсутствии необходимости достаточно отключить протокол на внешних интерфейсах.

Исправления уже вышли, и это хорошая новость. Плохая в том, что обе уязвимости требуют минимальных условий для атаки. Сетевой доступ и отсутствие аутентификации превращают ошибку в отдельной функции ядра в общую проблему для всей инфраструктуры, где обновления откладывают.

Две уязвимости ядра Linux и затронутые дистрибутивы

Ошибка вычислений в подсистеме SRPT

Сбой при проверке адресов IPv6

Почему это важно за пределами узкого круга

Что делать администраторам

Ссылки