Ошибка NVMe в ядре Linux затрагивает Debian, Ubuntu, Red Hat и РЕД ОС

Уязвимость BDU:2026-16683 (CVE-2026-74384) в подсистеме NVMe (протокол доступа к твердотельным накопителям) ядра Linux даёт удалённому злоумышленнику возможность влиять на конфиденциальность, целостность и доступность системы. Ошибка связана с недостаточным контролем времени жизни ресурса. Проблема затрагивает Debian, Ubuntu, Red Hat Enterprise Linux и РЕД ОС, а также ветки ядра от 4.20 до 7.1.5.

CVE-2026-74384 в ядре Linux и затронутые дистрибутивы

В Банке данных угроз безопасности информации (BDU) проблема относится к CWE-664, недостаточному контролю ресурса в период его существования. Подсистема неверно удерживает или освобождает объект, связанный с пространством имён NVMe. Пространство имён NVMe - логический раздел накопителя, который система видит как отдельное устройство. Сбой в обработке такого объекта способен привести к исчерпанию ресурсов. Именно исчерпание ресурсов указано как способ эксплуатации.

По шкале CVSS 3.1 уязвимость получает 9,8 балла, по CVSS 2.0 - 10. Это критический уровень опасности по классификации производителя. Вектор указывает на сетевую атаку без аутентификации и без участия пользователя. Сложность эксплуатации низкая. Производитель подтвердил проблему. Сведения о публичном эксплойте, вредоносном коде для использования уязвимости, уточняются. В BDU уязвимость датируется 27 мая 2026 года.

Список затронутых продуктов широк. В него входят Debian GNU/Linux 9, 10, 11, 12 и 13, а также Ubuntu 18.04, 20.04, 22.04, 24.04 и 26.04 LTS (версии с долгосрочной поддержкой). Кроме них, затронуты Red Hat Enterprise Linux 8, 9 и 10 и РЕД ОС 7.3 и 8.0. На уровне ядра уязвимы ветки от 4.20 до 7.1.5, включая промежуточные стабильные выпуски. Для каждого дистрибутива сроки и номера пакетов различаются. Проверять нужно именно свою ветку.

Удалённый характер атаки повышает риск. Злоумышленнику не нужен локальный доступ к консоли и учётная запись. Достаточно сетевого взаимодействия с уязвимым сервисом или интерфейсом, который обрабатывает запросы NVMe. При успешной эксплуатации возможны отказ в обслуживании, искажение данных и утечка информации. Производитель оценил все три компонента - конфиденциальность, целостность и доступность - как высокие.

Подсистема NVMe работает с накопителями, поэтому проблема касается не только настольных систем. Серверы, системы виртуализации, системы хранения данных и облачные платформы используют те же компоненты ядра. Если злоумышленник вызовет исчерпание ресурсов, пострадать может доступность приложений и данных. Для инфраструктуры это означает риск простоя, а для пользователей - перебои в работе сервисов. РЕД ОС 7.3 и 8.0 входят в единый реестр российских программ. Обе ветки указаны среди уязвимых.

Исправления доступны в стабильных ветках ядра. Хранилище ядра Linux содержит исправления, а дистрибутивы публикуют обновлённые пакеты. Debian, Ubuntu, Red Hat и РЕД ОС ведут собственные системы отслеживания уязвимости, где указаны версии с исправлением. Установка обновления закрывает ошибку. Без него система остаётся уязвимой.

Администраторам нужно проверить версию ядра и установить обновление из хранилища дистрибутива. В Debian ориентируются на систему отслеживания безопасности, в Ubuntu - на штатные обновления. В Red Hat смотрят на уведомления о безопасности, в РЕД ОС используют хранилища обновлений. После установки пакетов системе нужна перезагрузка, чтобы новое ядро вступило в силу. Если перезагрузка невозможна сразу, ограничьте сетевой доступ к сервисам, которые работают с NVMe, и проверьте журналы на аномальную нагрузку.

Ошибки управления временем жизни ресурсов редко выглядят заметно. Их последствия проявляются в нагрузке, сбоях и нестабильной работе. CVE-2026-74384 напоминает, что ядро Linux остаётся крупной общей основой для множества дистрибутивов. Одно исправление затрагивает серверы, облака и рабочие станции одновременно. Поэтому скорость установки обновлений важна не меньше, чем сам факт выхода исправления.

CVE-2026-74384 в ядре Linux и затронутые дистрибутивы

Ссылки