Критические уязвимости в ядре Linux угрожают серверам по всему миру: две новые бреши позволяют удалённо выполнить код и вызвать отказ в обслуживании

Банк данных угроз безопасности информации (BDU) зафиксировал две крайне опасные уязвимости в ядре операционной системы Linux. Обе проблемы получили статус критических по шкале CVSS. Первая из них, идентифицированная как BDU:2026-07832 (CVE-2026-43037), представляет собой классическую ошибку записи за границами буфера. Она обнаружена в функции ip4ip6_err(), которая отвечает за обработку ошибок туннелирования трафика в подсистеме IPv6. Вторая уязвимость, BDU:2026-07833 (CVE-2026-43039), связана с отсутствием корректной инициализации ресурсов и затрагивает драйвер промышленного Ethernet-интерфейса icssg-prueth. На первый взгляд это разные технические дефекты, однако их объединяет одно: обе позволяют злоумышленнику действовать удалённо и без какой-либо аутентификации.

Детали уязвимости

Важно понимать, что ошибка записи за границами буфера (CWE-787) возникает, когда программа пытается поместить данные в область памяти за пределами выделенного ей пространства. Это грубейший дефект, характерный для низкоуровневых языков, таких как С. В данном случае он находится в компоненте, обрабатывающем IP-туннели. Именно такие уязвимости чаще всего ведут к выполнению произвольного кода. Иными словами, злоумышленник может отправить специально сформированный сетевой пакет на уязвимый сервер. Если пакет пройдёт проверку, ядро, обрабатывая его, выйдет за границы выделенного буфера и перезапишет соседние участки памяти. Затем атакующий может вставить туда свой вредоносный код и заставить систему выполнить его с максимальными привилегиями ядра. Очевидно, что это открывает путь к полному захвату контроля над атакуемой машиной.

Вторая уязвимость формально классифицируется как отсутствие инициализации ресурса (CWE-909). Её суть проще: драйвер icssg-prueth запускает некую операцию, не обнулив предварительно важные переменные или не настроив оборудование. Из-за этого система может перейти в нестабильное состояние. Правда, в отличие от первой бреши, эксплуатация этой уязвимости, скорее всего, приведёт не к выполнению кода, а к отказу в обслуживании. Сервер или сетевое оборудование просто зависнут или перезагрузятся. Но и такой сценарий критичен для промышленных систем и дата-центров.

Круг уязвимых систем чрезвычайно широк. В первую очередь под ударом оказались корпоративные дистрибутивы Red Hat Enterprise Linux (версии 7, 8, 9 и 10, включая продвинутые сборки с расширенной поддержкой). Следом идёт вся популярная линейка Canonical Ubuntu - от версии 16.04 LTS до свежей 25.10. Не повезло и Debian GNU/Linux - под угрозой одиннадцатая, двенадцатая и даже тринадцатая версии. Наконец, в списке значатся и отечественные разработки: операционная система "АЛЬТ СП 10" от компании "ИВК". Что касается самой архитектуры ядра, уязвимость CVE-2026-43037 присутствует в гигантском диапазоне версий: начиная с 2.6.22 и заканчивая 6.19.12. Это означает, что она затрагивает буквально миллионы устройств по всему миру - от старых серверов, работающих годами без обновления, до современных облачных инстансов.

Обе уязвимости подтверждены производителями и уже устранены в актуальных версиях ядра. Разработчики выпустили патчи, которые закрывают дыры. Все ссылки на исправления опубликованы в открытых репозиториях. В частности, для Red Hat обновления доступны через официальный портал безопасности, для Ubuntu - через стандартный канал уведомлений, для Debian - через трекер безопасности. Отдельный патч появился в публичном репозитории для операционной системы "Альт".

Специалистам по информационной безопасности и системным администраторам стоит действовать незамедлительно. Лучший способ защиты - установить обновления ядра на всех уязвимых узлах: серверах, рабочих станциях, сетевом оборудовании и встроенных системах, использующих Linux. Однако стоит помнить, что установка нового ядра обычно требует перезагрузки. В критических инфраструктурах, где простой недопустим, необходимо разработать план поочерёдного обновления. Если по каким-то причинам установить патч прямо сейчас невозможно, следует временно ограничить доступ к уязвимым службам с помощью правил брандмауэра. Рекомендуется заблокировать приём внешнего трафика на тех интерфейсах, которые не должны быть открыты из глобальной сети. Также стоит обратить внимание на отключение неиспользуемых модулей ядра, отвечающих за туннелирование, если это допускается архитектурой системы.

В целом, эти два инцидента лишний раз напоминают о том, насколько хрупкой может быть безопасность даже самого зрелого и проверенного кода. Уязвимости в ядре - это бомба замедленного действия. Они не всегда заметны на ранних стадиях, но их последствия могут быть катастрофическими. Благо, на этот раз реакция разработчиков была быстрой. Теперь слово за системными администраторами, которым предстоит непростая задача: применить патчи без остановки производственных процессов.

Детали уязвимости

Ссылки