Уязвимость CVE-2026-72421 в ядре Linux позволяет удалённому злоумышленнику влиять на конфиденциальность и целостность защищаемой информации. Пароль и действия пользователя не нужны: атака идёт по сети, а ошибка находится в механизме выбора маршрута для пакетов. Проблема касается серверов и рабочих станций на Red Hat Enterprise Linux, Ubuntu, Debian и РЕД ОС.
CVE-2026-72421 и масштаб последствий для дистрибутивов
Банк данных угроз безопасности информации (BDU) описывает проблему под номером BDU:2026-16909. Ошибка относится к классу "использование имени с неправильной ссылкой" и затрагивает функцию поиска записи в таблице маршрутизации. Ядро обращается к имени объекта с неверной ссылкой, и этим пользуется атакующий. Способ эксплуатации в карточке обозначен как подмена при взаимодействии.
Оценки опасности высокие. По CVSS 3.1 уязвимость получает 10 баллов и критический уровень; по CVSS 2.0 - 9,4 и высокий уровень. Вектор сетевой, привилегии не требуются, участие пользователя тоже. При этом уязвимость не влияет на доступность: отказ в обслуживании в векторе не заявлен. Страдают конфиденциальность и целостность данных, то есть злоумышленник может читать и изменять информацию. Класс уязвимости в карточке BDU - уязвимость архитектуры.
Готовый эксплойт (вредоносный код, использующий уязвимость) в карточке не описан: сведения о нём уточняются. Подтверждённых случаев эксплуатации в реальных атаках там тоже нет. Однако сетевой вектор и отсутствие требований к аутентификации делают ошибку удобной для удалённого воздействия. Ядро - общий слой для множества служб и приложений, поэтому одна ошибка в маршрутизации затрагивает сразу целый набор сценариев: веб-серверы, балансировщики, контейнерные платформы и корпоративные сервисы.
Кого затрагивает уязвимость
Список вендоров широк. Уязвимы Red Hat Enterprise Linux 7, 8, 9 и 10; Ubuntu от 16.04 LTS до 26.04 LTS, то есть семь выпусков; Debian с 9 по 13; РЕД ОС 7.3 и 8.0. В upstream уязвимы ветки ядра от 3.6 до 7.1.5, причём диапазон разбит на несколько интервалов. Производитель подтвердил проблему.
РЕД ОС входит в единый реестр российских программ, поэтому уязвимость касается и инфраструктуры госсектора. Старые LTS-выпуски Ubuntu и Debian, а также RHEL 7 и 8 давно работают на многих предприятиях. Их обновляют реже, чем свежие системы. В результате ошибка в ядре сохраняется там дольше, хотя формально исправление уже доступно.
Отдельного внимания требует парк виртуальных машин и контейнеров. Образы с ядром хоста или общей сетевой конфигурацией наследуют ту же проблему. Обновление одного физического сервера не закрывает уязвимость в гостевых системах, если каждая из них использует собственное ядро.
Обновления ядра и пакетов дистрибутивов
Информация об устранении в BDU - "уязвимость устранена". Для ядра исправления вошли в стабильные ветки. Для дистрибутивов обновления вышли в виде пакетов: Red Hat, Ubuntu и Debian публикуют их через свои механизмы поддержки, а РЕД ОС - через репозитории обновлений. Каждый вендор ведёт отдельную страницу с описанием CVE-2026-72421 и статусом выпусков.
Администраторам нужно обновить ядро штатными средствами дистрибутива и проверить, что новая версия действительно загрузилась. Без перезагрузки обновлённый образ ядра не начнёт работать. В кластерах и на балансировщиках обновление проводят поэтапно, чтобы не потерять доступность сервисов. Для контейнеров стоит обновить базовые образы и пересобрать рабочие окружения.
Если обновление отложено, сократить риск помогает ограничение сетевого доступа к уязвимым системам. Такая мера не устраняет ошибку, зато снижает число точек, откуда возможна подмена при взаимодействии. Проверить версию ядра и статус пакетов можно стандартными средствами дистрибутива.
Ошибка в маршрутизации ядра показывает, насколько широко расходятся последствия одного сбоя. Исправления доступны у всех перечисленных вендоров, включая российскую РЕД ОС. Скорость установки обновлений определяет, сколько времени инфраструктура остаётся уязвимой к удалённому воздействию на данные.
Ссылки
- https://bdu.fstec.ru/vul/2026-16909
- https://www.cve.org/CVERecord?id=CVE-2026-72421
- https://git.kernel.org/stable/c/49eaf1403201357762d745a35882fb734107d763
- https://git.kernel.org/stable/c/5ae18d87a45698e8244d0fcba64c658c35a7dd3d
- https://git.kernel.org/stable/c/828fad4fd418bcdb9f5d66fec0d184c52a85ec31
- https://git.kernel.org/stable/c/9127589aabdee588278e8d0d0bd3709a760a92c8
- https://git.kernel.org/stable/c/a29e95fbc51e8a1b932773fd0e259b2080881443
- https://git.kernel.org/stable/c/a668fa160247d7bbe921548cb845f607b8b9305f
- https://git.kernel.org/stable/c/b72f0db64205d9ce462038ba995d5d31eff32dc1
- https://git.kernel.org/stable/c/fd25996f57a95d56bc568c89b4921edcf334b7d8
- https://github.com/advisories/GHSA-66j4-c66h-jm7x
- http://repo.red-soft.ru/redos/7.3c/x86_64/updates/
- http://repo.red-soft.ru/redos/8.0/x86_64/updates/
- http://repo.red-soft.ru/redos/8.0/aarch64/updates/
- https://security-tracker.debian.org/tracker/CVE-2026-72421
- https://deb.freexian.com/extended-lts/tracker/CVE-2026-72421
- https://access.redhat.com/security/cve/CVE-2026-72421
- https://ubuntu.com/security/CVE-2026-72421
