В ядре Linux обнаружена уязвимость в компоненте, который отвечает за трансляцию сетевых адресов для SIP-соединений. Удалённый атакующий может истощить ресурсы машины и нарушить её нормальную работу. Затронуты Red Hat Enterprise Linux 7, 8, 9 и 10, Ubuntu 16.04, 18.04, 20.04, 22.04, 24.04 и 26.04 LTS, Debian с 9 по 13, РЕД ОС 7.3 и 8.0, а также само ядро Linux в ветках от 3.9 до 7.1.5. Оценка по CVSS 3.1 достигает 9,8 из 10, и Банк данных угроз безопасности информации (BDU) относит проблему к критическому уровню опасности.
CVE-2026-72251 в SIP-модуле ядра Linux
SIP - протокол, с помощью которого устанавливают голосовые и видеозвонки. Когда вызов идёт через NAT (трансляцию сетевых адресов), ядро правит адреса и порты внутри SIP-сообщений, чтобы абоненты услышали друг друга. Этим занимается так называемый SIP ALG - шлюз прикладного уровня, встроенный в механизм трансляции. Ошибка сидит именно там.
Ошибка относится к классу CWE-664, недостаточный контроль ресурса в период его существования. Класс описывает случаи, когда программа неверно распоряжается ресурсом на всём протяжении его жизни: не освобождает вовремя, не ограничивает число копий или теряет над ними контроль. В сетевом коде ядра такие ошибки обычно оборачиваются накоплением служебных записей, которые никто не удаляет.
Способ эксплуатации в описании указан прямо: исчерпание ресурсов. Атакующему не нужны учётные данные, не требуется и участие пользователя - вектор предполагает работу по сети без предварительной аутентификации и без действий со стороны жертвы. Достаточно потока специально сформированных пакетов, чтобы свободная память или таблицы трансляций закончились. В описании уязвимости упомянуто влияние на конфиденциальность, целостность и доступность информации. Практический сценарий при этом один и понятный: пограничный узел перестаёт обрабатывать вызовы, а вместе с ними может пострадать и остальная система. Сведения о наличии готового эксплойта на момент публикации уточняются.
Кого затрагивает и насколько широко
Диапазоны версий ядра покрывают почти всё, что сейчас работает в продакшене. В списке есть ветки с 3.9 по 5.10, с 5.11 по 5.15, с 5.16 по 6.1, с 6.2 по 6.6, с 6.7 по 6.12, с 6.13 по 6.18 и с 6.19 по 7.1.5. Иными словами, под удар попадают и старые сборки, которые давно не обновляли, и свежие. Дистрибутивы из списка тоже разные: корпоративные RHEL, долгосрочные Ubuntu, Debian, российская РЕД ОС.
Скажется это прежде всего на инфраструктуре IP-телефонии. SIP-шлюзы, серверы установки соединений, пограничные контроллеры сессий часто работают на Linux, и их сетевые порты открыты наружу по самой логике сервиса. Если такой хост держит на себе ещё и другие задачи, исчерпание ресурсов затронет всех его соседей по машине. Аналогично в контейнерных средах: уязвимость ядра общая для всех контейнеров на хосте, и обновление требует перезагрузки самого хоста, а не только перезапуска нагрузки.
Отдельная сложность - замороженные системы. Встраиваемые устройства, промышленные контроллеры и прикладные серверы с ядром из состава прошивки обновляют редко. Для них окно риска измеряется месяцами и годами, а не днями.
Обновления и обходные меры
Исправления уже внесены в стабильные ветки ядра, а дистрибутивы из списка собрали свои пакеты. Владельцам RHEL, Ubuntu, Debian и РЕД ОС достаточно штатного обновления через репозитории вендора. Искать нужный патч удобно по идентификатору CVE-2026-72251 в трекерах Red Hat, Ubuntu, Debian и в репозиториях РЕД ОС: там же указаны точные версии ядра, закрывающие проблему. После установки пакетов машину нужно перезагрузить. Без перезагрузки новое ядро не заработает, и уязвимость останется на месте.
Тем, кто не может обновиться сразу, есть что сделать на периметре. Если телефония не должна быть доступна из интернета, SIP-порты закрывают на межсетевом экране и оставляют доступ только из доверенных сетей. На пограничных шлюзах отключают SIP ALG, если он не нужен: без него уязвимый код не участвует в обработке вызовов. Сами SIP-серверы изолируют в отдельный сегмент сети, чтобы отказ одного узла не ронял остальные сервисы. Мониторинг роста потребления памяти и числа записей трансляций помогает заметить попытку эксплуатации до того, как узел перестанет отвечать.
Уязвимость в ядре Linux, затрагивающая сразу четыре семейства дистрибутивов и почти все поддерживаемые ветки, - редкий по охвату случай. Скорость закрытия здесь зависит не от одной команды разработчиков, а от десятков мейнтейнеров и от того, насколько быстро администраторы решатся на перезагрузку.
Ссылки
- https://bdu.fstec.ru/vul/2026-17228
- https://www.cve.org/CVERecord?id=CVE-2026-72251
- https://git.kernel.org/stable/c/0e76e3e886cc9ee027337d5ad39cb96f57b7bdc7
- https://git.kernel.org/stable/c/2bcf2c5052fb5e73e255140ab43f056aef409c27
- https://git.kernel.org/stable/c/57e4e29644ec054d7021d296407e7ddd844afea2
- https://git.kernel.org/stable/c/77e43bcb7ec177e293a5c3f1b91a2c5aebfb6c68
- https://git.kernel.org/stable/c/bded21a4bf9bf86a79148be735723a97ca9a7532
- https://git.kernel.org/stable/c/dc11f26685aa850f237226f0f463647aea58ab7c
- https://git.kernel.org/stable/c/e38143c9b477f2968024c47c647dd4456a40aff1
- https://git.kernel.org/stable/c/eae9c6ccb5af69c713a65f8ae219f5c1aa32cd17
- https://github.com/advisories/GHSA-56q2-hf63-wxmq
- http://repo.red-soft.ru/redos/8.0/x86_64/updates/
- http://repo.red-soft.ru/redos/8.0/aarch64/updates/
- http://repo.red-soft.ru/redos/7.3c/x86_64/updates/
- https://security-tracker.debian.org/tracker/CVE-2026-72251
- https://access.redhat.com/security/cve/CVE-2026-72251
- https://ubuntu.com/security/CVE-2026-72251
