Отсутствие обработчика в ядре Linux ведёт к удалённому отказу в обслуживании

В ядре Linux обнаружили уязвимость CVE-2026-64530, которая позволяет злоумышленнику, работающему по сети, вызвать отказ в обслуживании. Оценка по CVSS 3.1 составляет 9,8, по устаревшей CVSS 2.0 - 10. Уровень опасности Банк данных угроз безопасности информации (BDU) определяет как критический. Проблема затрагивает не только само ядро, но и дистрибутивы на его основе: Debian, Ubuntu, Red Hat Enterprise Linux и Astra Linux Special Edition.

CVE-2026-64530 затрагивает ядро Linux и крупные дистрибутивы

Формально речь идёт об ошибке класса CWE-431, то есть об отсутствующем обработчике. Код не проверяет состояние одной из внутренних структур данных и не реагирует на события, которые обязан перехватывать. Поскольку структура доступна для внешнего воздействия, злоумышленник может менять её содержимое, манипулируя данными, приходящими по сети. Итог - сбой или зависание ядра, после которого система перестаёт отвечать на запросы.

Для эксплуатации не нужны ни учётная запись, ни действия пользователя: вектор атаки сетевой, аутентификация и взаимодействие с интерфейсом не требуются. В описании BDU прямо назван только отказ в обслуживании, хотя сам вектор CVSS указывает на высокое влияние по всем трём составляющим - конфиденциальности, целостности и доступности. Иными словами, последствия могут оказаться шире простого простоя.

Подтверждённых данных о реальных атаках пока нет. Статус уязвимости - подтверждена производителем, сведения о наличии эксплойта в карточке BDU помечены как уточняющиеся. Дата выявления - 20 июня 2026 года. Отсутствие публичного эксплойта не снижает риска: ядро Linux работает на серверах, в облачной инфраструктуре и на сетевом оборудовании, поэтому ошибка такого класса быстро расходится по веткам и дистрибутивам.

Уязвимые ветки ядра и сроки поддержки

Ошибка присутствует в стабильных ветках от 5.15 до 7.1. В BDU перечислены конкретные диапазоны, включая 5.15.148-5.15.212, 6.1.75-6.1.178, 6.6.14-6.6.145, 6.7.2-6.12.97, 6.13-6.18.40 и 6.19-7.1.5. Исправления уже внесены в основную ветку и разошлись по стабильным сборкам, так что дистрибутивы получили возможность закрыть проблему одновременно.

Уязвимость задела широкий набор платформ. В список попали Debian GNU/Linux с девятой по тринадцатую версию, Ubuntu 20.04, 22.04, 24.04 и 26.04 LTS, Red Hat Enterprise Linux 8, 9 и 10 вместе с расширенными вариантами поддержки, а также Astra Linux Special Edition 1.7. Последний пункт важен для российских заказчиков: речь об операционной системе из единого реестра российских программ, которую применяют в том числе в защищённых контурах.

Отдельная сложность связана с длительной поддержкой. Ветки с расширенным сроком обслуживания получают исправления позже основных, а часть систем обновляют вручную и редко. На практике это значит, что одна и та же уязвимость остаётся в инфраструктуре месяцами, даже когда патчи доступны.

Исправления вышли в стабильные ветки

Разработчики ядра закрыли проблему коммитом, ссылки на который приведены в бюллетене. Дистрибутивы выпустили собственные сборки. Для Astra Linux предлагают обновить пакет linux-6.1 до версии 6.1.188-1.astra1+ci1 или более высокой, а пакет linux-5.15 - до 5.15.0-199.astra1+ci233 или выше. Трекеры Debian, Ubuntu и Red Hat содержат актуальные версии для каждой поддерживаемой ветки.

Что делать администраторам

Первое действие - проверить версию ядра на серверах и рабочих станциях и установить обновление из штатного репозитория. Отложенный перезапуск сводит эффект патча к нулю: новое ядро вступает в силу только после перезагрузки. Для узлов, которые нельзя выводить из работы быстро, стоит заранее спланировать окно обслуживания.

Если обновление недоступно, ФСТЭК России предлагает опираться на методический документ "Рекомендации по безопасной настройке операционных систем LINUX" от 25 декабря 2022 года. Он описывает ограничение сетевого доступа к служебным сервисам и сокращение поверхности атаки на уровне конфигурации. Радикальнее и надёжнее - изолировать уязвимые системы от недоверенных сетей до установки патча.

Ядро остаётся общим фундаментом для десятков дистрибутивов, и ошибка в нём расходится по инфраструктуре быстрее, чем команды успевают закрывать окна обновлений. История с CVE-2026-64530 показывает, насколько важен учёт сроков поддержки: расширенные контракты на обновления помогают только тогда, когда исправления действительно устанавливают.

CVE-2026-64530 затрагивает ядро Linux и крупные дистрибутивы

Уязвимые ветки ядра и сроки поддержки

Исправления вышли в стабильные ветки

Что делать администраторам

Ссылки