Две уязвимости в ядре Linux получили критический уровень опасности в Банке данных угроз безопасности информации (BDU). Первая касается обработки групповой рассылки IPv6, вторая - подсистемы балансировки нагрузки IPVS. Обе позволяют злоумышленнику, действующему по сети, влиять на конфиденциальность, целостность и доступность защищаемых данных. Базовая оценка по CVSS 3.1 у каждой - 9,8. В перечень затронутых систем попали Red Hat Enterprise Linux, Ubuntu, Debian, РЕД ОС и само ядро Linux вплоть до ветки 7.1.5.
Две уязвимости в сетевом стеке ядра Linux и затронутые дистрибутивы
Обе проблемы затрагивают подсистемы, которые отвечают за сетевую обработку и доступны извне на большинстве серверов. Исправления уже вошли в стабильную ветку ядра, а производители дистрибутивов подготовили собственные сборки.
Сбой потока управления в обработке IPv6
Уязвимость CVE-2026-72322 описана в BDU под номером BDU:2026-17327. Её выявили 5 июля 2026 года в коде, который обслуживает групповую рассылку IPv6 и связанные структуры адресации. Классификация ошибки - недостаточное управление потоком (CWE-691). Речь о ситуации, когда программа теряет контроль над порядком выполнения операций.
Ядро получает издалека особым образом сформированные пакеты и реагирует на них непредусмотренным образом. Глубже в механику разработчики не вдаются. Важнее другое: по вектору атаки не нужны ни учётная запись, ни действие со стороны пользователя, ни предварительный доступ к системе. Достаточно сетевого соединения с уязвимым узлом. Все три составляющие - конфиденциальность, целостность и доступность - оцениваются как высокие.
Исчерпание ресурсов в балансировщике IPVS
Вторая уязвимость, CVE-2026-72319, зарегистрирована в BDU как BDU:2026-17419 с датой выявления 7 июля 2026 года. Она кроется в подсистеме netfilter IPVS (IP Virtual Server - встроенный в ядро балансировщик нагрузки, который распределяет входящие запросы между серверами). Ошибка относится к категории недостаточного контроля ресурса в период его существования (CWE-664).
Проще говоря, объекты, которые создаются при обработке соединений, освобождаются не всегда. Обращения накапливаются, память и связанные с ней структуры расходуются, пока система не начнёт отказывать в обслуживании. Способ эксплуатации в описании так и обозначен: исчерпание ресурсов. Удалённый злоумышленник обходится без аутентификации. Нижняя граница уязвимых ядер здесь выше, чем у первой ошибки, - ветка 3.7 вместо 2.6.12.
Кого затрагивает и что известно об эксплуатации
Список затронутых дистрибутивов широк. Это Red Hat Enterprise Linux версий 7, 8, 9 и 10; Ubuntu от 16.04 до 26.04 LTS; Debian с 9 по 13; РЕД ОС 7.3 и 8.0, причём обе версии значатся в едином реестре российских программ, а значит, вопрос актуален и для организаций, которые работают на отечественном системном программном обеспечении. Само ядро Linux уязвимо в диапазонах от 2.6.12 до 5.10.261, от 5.11 до 5.15.212, от 5.16 до 6.1.178, от 6.2 до 6.6.145, от 6.7 до 6.12.97, от 6.13 до 6.18.40 и от 6.19 до 7.1.5.
Сведения о наличии готового эксплойта в BDU указаны как уточняющиеся. Подтверждённых случаев эксплуатации в реальных атаках на момент публикации нет. Обе уязвимости производители подтвердили, статус - "уязвимость устранена".
Обновления и порядок действий
Исправления для ядра лежат в стабильной ветке на git.kernel.org. Дистрибутивы ведут собственные трекеры: у Red Hat - на портале безопасности, у Ubuntu и Debian - в их службах отслеживания CVE. Для РЕД ОС пакеты выложены в репозиториях обновлений версий 7.3 и 8.0.
Практические шаги для администраторов выглядят так: обновить ядро из штатного репозитория дистрибутива; для РЕД ОС взять пакеты из репозитория обновлений соответствующей версии; после установки перезагрузить систему, поскольку изменения касаются ядра и вступают в силу только после старта. Если обновление отложено, доступ к балансировщику IPVS из внешних сетей закрывают фильтрацией на периметре, а неиспользуемый сервис отключают.
Обе ошибки относятся к сетевым компонентам ядра, а такой код на серверах обычно открыт наружу. Задержка с установкой патчей продлевает окно, в котором удалённый пакет остаётся достаточным условием для сбоя или компрометации.
Ссылки
- https://bdu.fstec.ru/vul/2026-17327
- https://bdu.fstec.ru/vul/2026-17419
- https://www.cve.org/CVERecord?id=CVE-2026-72322
- https://www.cve.org/CVERecord?id=CVE-2026-72319
- https://git.kernel.org/stable/c/0401d6cf7877c9be36652385dfcbf7f891b8b590
- https://git.kernel.org/stable/c/0458ba1cda830ba4ccfcd9e19c0891438bcdbe4e
- https://git.kernel.org/stable/c/9815e834f5ff8b39e0ea9f0dbd532f4a3b8f0785
- https://git.kernel.org/stable/c/9b26518b6896a16b809b1e42986f4ebac7bccc1e
- https://git.kernel.org/stable/c/9ce741c22df4fd9546e30306317ac7df3607e48f
- https://git.kernel.org/stable/c/ebbebf6cee950d7f1c81990256c0eae9e62572ae
- https://git.kernel.org/stable/c/f03b0a45535d49bdab7e502efaacee205b2a7865
- https://git.kernel.org/stable/c/f12b63ef26a035c5a29b3ef56401e38199010d4a
- https://github.com/advisories/GHSA-p5wq-w75h-848c
- http://repo.red-soft.ru/redos/8.0/x86_64/updates/
- http://repo.red-soft.ru/redos/8.0/aarch64/updates/
- http://repo.red-soft.ru/redos/7.3c/x86_64/updates/
- https://security-tracker.debian.org/tracker/CVE-2026-72322
- https://access.redhat.com/security/cve/CVE-2026-72322
- https://ubuntu.com/security/CVE-2026-72322
- https://git.kernel.org/stable/c/19657b3a17b774ae4e2f2635b5ae8638c9344a40
- https://git.kernel.org/stable/c/3f7a535ff0fa627a0132803e4c2f903ceffcbc1c
- https://git.kernel.org/stable/c/8f48cfe657409fb5c7ba0521b14da6d47546d9cf
- https://git.kernel.org/stable/c/92185d6f7819bc558939ae83de7b1abe90e3b5c2
- https://git.kernel.org/stable/c/9bc9b95aee2b2e3f1301a16a67ee504960402875
- https://git.kernel.org/stable/c/a735f9964a3d9ed97daf9b08507f8b5bcafe6326
- https://git.kernel.org/stable/c/dac813101914c21219ac221a60a31a11bc90e7ec
- https://git.kernel.org/stable/c/dd22f74a09e25ca298ced0a3763ef353242cb78d
- https://github.com/advisories/GHSA-67vj-f5vq-78c5
- https://security-tracker.debian.org/tracker/CVE-2026-72319
- https://access.redhat.com/security/cve/CVE-2026-72319
- https://ubuntu.com/security/CVE-2026-72319
