Некорректный поток управления в ядре Linux позволяет удалённо влиять на данные в Debian, Ubuntu, RHEL и РЕД ОС

В ядре Linux обнаружили уязвимость BDU:2026-17210 (CVE-2026-72473). Базовая оценка по шкале CVSS 3.1 достигает 9,8. Ошибка позволяет удалённому злоумышленнику без учётной записи и без действий пользователя влиять на конфиденциальность, целостность и доступность защищаемых данных. Затронуты Debian, Ubuntu, Red Hat Enterprise Linux, РЕД ОС и несколько веток самого ядра Linux.

Уязвимость CVE-2026-72473 в ядре Linux и её последствия

Проблема относится к классу CWE-691 (недостаточное управление потоком операций). Ядро неверно выстраивает последовательность обработки специально сформированных структур данных. Злоумышленник может манипулировать такими структурами и добиваться нужного поведения системы. Атака возможна по сети, сложность низкая, привилегии не требуются, участие пользователя не нужно. Проблему выявили 26 мая 2026 года. В Банке данных угроз безопасности информации (BDU) статус уязвимости указан как подтверждённый производителем.

Оценка CVSS 2.0 равна 10, а CVSS 3.1 - 9,8. По классификации BDU уязвимость имеет критический уровень опасности. Статус эксплойта в BDU пока уточняется. Сведений о реальных атаках в исходных данных нет.

Что означает некорректный поток управления

Ядро Linux управляет памятью, процессами и доступом к устройствам. Ошибка в потоке управления затрагивает сразу несколько уровней работы системы. При обычной нагрузке она может не проявляться. Однако специально подобранные данные способны направить обработку по неверному пути. Последствия зависят от конфигурации и версии ядра. В описании BDU указаны высокие риски для конфиденциальности, целостности и доступности. Это значит, что злоумышленник потенциально может получить доступ к данным, изменить их или нарушить работу сервиса.

Кого затрагивает уязвимость

Затронуты пять выпусков Debian GNU/Linux: 9, 10, 11, 12 и 13. Ещё пять выпусков Ubuntu: 18.04 LTS, 20.04 LTS, 22.04 LTS, 24.04 LTS и 26.04 LTS. В список входят три выпуска Red Hat Enterprise Linux: 8, 9 и 10. Также уязвимы два выпуска РЕД ОС: 7.3 и 8.0. Всего 15 выпусков дистрибутивов.

Кроме того, затрагивается само ядро Linux. В BDU перечислены ветки с 5.3 по 6.1.178, с 6.2 по 6.6.145, с 6.7 по 6.12.97, с 6.13 по 6.18.40 и с 6.19 по 7.1.5. Затронутые дистрибутивы используются и на серверах, и на рабочих станциях. Поэтому обновление нужно планировать для всех систем, где применяется уязвимое ядро.

Как закрыть уязвимость

Исправления вошли в стабильные ветки ядра Linux. Вендоры дистрибутивов подготовили собственные обновления. Debian публикует сведения в трекере безопасности проекта. Ubuntu, Red Hat и РЕД ОС выпускают пакеты через свои каналы безопасности. Администраторам нужно обновить ядро из репозитория дистрибутива. После установки проверьте, что версия ядра соответствует исправленной сборке.

Для РЕД ОС 7.3 и 8.0 обновления доступны в репозиториях вендора. Официальных обходных мер в исходных данных нет. Основной способ закрыть проблему - установить обновление. Если система работает на старой ветке ядра, сначала нужно проверить срок её поддержки.

Что это значит для инфраструктуры

CVE-2026-72473 затрагивает одновременно свободные и коммерческие дистрибутивы. Одно и то же ядро используется на серверах, в облаках и на пользовательских машинах. Атака по сети и отсутствие требования привилегий усиливают риск при задержке с обновлением. Для инфраструктуры риск растёт, если часть систем остаётся на старых ветках. Обновление ядра остаётся основной мерой защиты.

Уязвимость CVE-2026-72473 в ядре Linux и её последствия

Что означает некорректный поток управления

Кого затрагивает уязвимость

Как закрыть уязвимость

Что это значит для инфраструктуры

Ссылки