Уязвимость CVE-2026-64535 в ядре Linux связана с повторным освобождением одной и той же области памяти. Ошибка даёт удалённому злоумышленнику способ уронить систему, не имея учётной записи на машине. Среди затронутых продуктов - Debian, Ubuntu, Red Hat Enterprise Linux, OpenShift Container Platform и Astra Linux Special Edition. Само ядро уязвимо в ветках от 5.10.20 до 7.1. Базовая оценка по CVSS 3.1 равна 9,8, Банк данных угроз безопасности информации (BDU) относит уязвимость к критическому уровню опасности.
Уязвимость CVE-2026-64535 в ядре Linux и обновления дистрибутивов
Код дважды возвращает системе участок памяти, который уже освободил. Первый возврат корректен, второй ломает служебные структуры ядра. Бюллетень относит ошибку к классу CWE-1341, несколько выпусков одного и того же ресурса или дескриптора. Дальше поведение ядра становится непредсказуемым. Возможны аварийное завершение, потеря сетевых соединений и сбои в работе служб.
Эксплуатация не требует привилегий и действий пользователя. Вектор описывает сетевую атаку низкой сложности, поэтому уязвимая машина рискует уже самим фактом доступности по сети. Конкретный путь, которым приходит вредоносный запрос, в описании не назван. Для узла, который держит десятки соединений, отказ в обслуживании означает их обрыв и перезапуск служб.
Риск подчёркивает расхождение в оценках. Текст бюллетеня говорит только об отказе в обслуживании. Вектор CVSS 3.1 при этом указывает на возможное влияние на конфиденциальность, целостность и доступность. По старой шкале CVSS 2.0 базовая оценка достигает 10. Пока последствия не уточнены, разумно исходить из того, что сбой ядра на сервере останавливает приложения целиком.
Контейнеры опираются на то же ядро
Платформа OpenShift Container Platform 4 попала в перечень не случайно. Контейнеры используют ядро хоста, и ошибка в нём затрагивает изолированные нагрузки. Обновлять в такой схеме нужно узлы кластера, а не только образы приложений. Похожая логика действует в виртуальных средах, где гостевые системы делят одно ядро.
О работающем эксплойте (вредоносном коде, который использует уязвимость) бюллетень сведений не даёт: пункт о его наличии остаётся открытым. Уязвимость выявили 10 мая 2026 года, производители её подтвердили. Ядро Linux лежит в основе облачных платформ и десятков сборок, поэтому одна ошибка расходится по широкому парку систем.
Какие версии закрывают ошибку
Astra Linux Special Edition 1.7 получила исправленные пакеты ядра. Для ветки linux-5.10 это версия 5.10.270-1.astra1+ci97, для linux-6.1 - 6.1.188-1.astra1+ci1, для linux-5.15 - 5.15.0-199.astra1+ci233. Debian, Ubuntu и Red Hat публикуют статус исправлений в своих системах отслеживания уязвимостей по номеру CVE-2026-64535. Выпуски Debian 9 и 10 давно не получают обычных обновлений, для них в бюллетене указана расширенная поддержка LTS (длительная поддержка старых выпусков).
Обновление ядра требует перезагрузки. Без неё патч лежит на диске, а уязвимый код продолжает работать в памяти. Проверить установленную версию помогают штатные средства пакетного менеджера дистрибутива.
Если исправленной сборки для конкретной системы нет, BDU отсылает к рекомендациям ФСТЭК России по безопасной настройке Linux, утверждённым 25 декабря 2022 года. Снизить риск помогает и ограничение сетевого доступа к узлам, для которых патч пока недоступен.
Ошибки работы с памятью в ядре остаются дорогим классом дефектов. Одно исправление приходится переносить в десяток веток, а само ядро служит общей основой для серверов, облаков и контейнерных платформ. Пока обновление не установлено и не применено перезагрузкой, ошибка остаётся рабочей.
Ссылки
- https://bdu.fstec.ru/vul/2026-18327
- https://www.cve.org/CVERecord?id=CVE-2026-64535
- https://nvd.nist.gov/vuln/detail/CVE-2026-64535
- https://security-tracker.debian.org/tracker/CVE-2026-64535
- https://deb.freexian.com/extended-lts/tracker/CVE-2026-64535
- https://git.kernel.org/linus/dbbd07d0a7020b80f6a7028e561908f7b83b3d5a
- https://git.kernel.org/stable/c/088ee46c18d99baef453afd74181dd40ade044ad
- https://git.kernel.org/stable/c/6f9442983a3e4227afd1c83a5251ddbca585ea21
- https://git.kernel.org/stable/c/7e558308eba14c8136cb1e615f0c850f76d1fc0a
- https://git.kernel.org/stable/c/96fe2513df590e74b04253a45089cae75569570e
- https://git.kernel.org/stable/c/dbbd07d0a7020b80f6a7028e561908f7b83b3d5a
- https://git.kernel.org/stable/c/dfb902462bca478f050224ec7a7195aafa7643b1
- https://git.kernel.org/stable/c/e091ff83d962f9ed00d9bd70443676de9fe98bdc
- https://github.com/torvalds/linux/commit/e091ff83d962f9ed00d9bd70443676de9fe98bdc
- https://wiki.astralinux.ru/astra-linux-se17-bulletin-2026-1014SE17HF
- https://ubuntu.com/security/CVE-2026-64535
- https://access.redhat.com/security/cve/CVE-2026-64535
