Подсистема ipset в ядре Linux позволяет удалённо влиять на данные и доступность систем

Ядро Linux содержит уязвимость в модуле ipset, который хранит наборы IP-адресов для правил фильтрации трафика. Ошибка даёт удалённому злоумышленнику возможность влиять на конфиденциальность, целостность и доступность защищаемой информации, причём без учётной записи и без участия пользователя. Затронуты Red Hat Enterprise Linux, Ubuntu, Debian, РЕД ОС и сами ветки ядра с 4.2 по 7.1.5.

BDU:2026-16918 в подсистеме ipset ядра Linux

Проблема внесена в Банк данных угроз безопасности информации под идентификатором BDU:2026-16918 (CVE-2026-72436). Вендор относит её к классу "недостаточный контроль ресурса в период его существования". Формулировка описывает ситуацию, когда программа выделяет ресурс, но плохо следит за ним на всём протяжении работы с ним. В случае с ipset это наборы адресов, на которые ссылаются правила сетевой фильтрации.

Способ эксплуатации в описании указан прямо - исчерпание ресурсов. Поскольку ipset работает внутри ядра, сбой в его логике затрагивает не отдельное приложение, а сетевую подсистему машины целиком. Наборы адресов применяют там, где нужно быстро проверять большие списки: в блокировках, ограничениях доступа, защите от перебора паролей и в маршрутизации. Чем активнее система использует такие списки, тем заметнее последствия ошибки.

Оценка угрозы максимально высокая. По CVSS 3.1 уязвимость получает 9,8 из 10 при сетевом векторе, без требуемых привилегий и без взаимодействия с пользователем. По CVSS 2.0 базовая оценка составляет 10. В бюллетене уровень обозначен как критический. Атакующему достаточно отправить по сети специально подготовленные данные, чтобы вмешаться в работу ядра.

Список пострадавших платформ широк. Помимо самого ядра Linux в ветках от 4.2 до 6.1.178, от 6.2 до 6.6.145, от 6.7 до 6.12.97, от 6.13 до 6.18.40 и от 6.19 до 7.1.5, в перечне значатся Red Hat Enterprise Linux 7, 8, 9 и 10, Ubuntu 16.04, 18.04, 20.04, 22.04, 24.04 и 26.04 LTS, Debian GNU/Linux с 9 по 13, а также РЕД ОС 7.3 и 8.0 из единого реестра российских программ. Иными словами, под риск попадает почти весь парк серверов и рабочих станций на Linux, включая инфраструктуру организаций, которые перешли на отечественные сборки.

Данных о реальных атаках пока нет. Статус уязвимости - подтверждена производителем, наличие эксплойта (вредоносного кода, использующего ошибку) уточняется. Отсутствие публичных сообщений об эксплуатации не отменяет риска: сетевой вектор и нулевые требования к привилегиям делают уязвимость удобной мишенью, как только появляется рабочий способ атаки.

Исправления уже вышли. Правки внесены в стабильные ветки ядра, дистрибутивы подготовили обновления пакетов, в бюллетене отмечено, что уязвимость устранена. Для Debian, Red Hat и Ubuntu опубликованы отдельные страницы с идентификатором CVE-2026-72436 в трекерах безопасности, для РЕД ОС обновления лежат в репозиториях проекта.

Что делать администраторам

Обновите пакет ядра до версии, которую вендор дистрибутива помечает как исправленную, и перезагрузите систему: до перезагрузки старое ядро продолжает работать. Проверьте, не зафиксированы ли ветки ядра на конкретных версиях в конфигурации загрузчика или в системах управления конфигурациями. Для РЕД ОС 7.3 и 8.0 пакеты доступны в репозиториях обновлений проекта, включая сборки для архитектуры aarch64. Если обновление невозможно сразу, ограничьте доступ к сервисам, которые принимают трафик из недоверенных сетей, и держите под наблюдением рост потребления памяти сетевыми процессами.

История с ipset показывает, насколько велика цена ошибки в сетевом коде ядра. Уязвимость не требует ни пароля, ни клика по ссылке, а последствия затрагивают сразу три свойства защищаемой информации. Обновление занимает минуты, но именно оно закрывает путь атаки, который иначе открыт для любого, кто имеет сетевой доступ к машине.

Что делать администраторам

Ссылки