Ядро Linux содержит уязвимость CVE-2026-64033, которая позволяет удалённому злоумышленнику вызвать отказ в обслуживании. Оценка по CVSS 3.1 достигает 9,8, уровень опасности в бюллетене Банка данных угроз безопасности информации (BDU) обозначен как критический. Проблема затрагивает само ядро в шести диапазонах версий, а вместе с ним Debian GNU/Linux 9, 10, 12 и 13, Ubuntu 20.04, 22.04, 24.04 и 26.04 LTS и Astra Linux Special Edition 1.7. Исправления для части этих систем уже доступны.
CVE-2026-64033 в ядре Linux и дистрибутивы на его основе
Класс ошибки - разыменование указателя с истекшим сроком действия (CWE-825). Ядро освобождает участок памяти, но оставляет указатель на него. Следующее обращение по этому адресу работает с памятью, которую уже отдали под другие задачи. Освобождённую область могли перезаписать посторонние данные, и код начинает читать или менять совсем не то, что задумывал автор. Специалисты BDU описывают способ эксплуатации как манипулирование структурами данных.
Для атаки не нужны учётные данные и действия пользователя. В векторе CVSS 3.1 указаны сетевой доступ (AV:N), отсутствие привилегий (PR:N) и отсутствие взаимодействия с пользователем (UI:N). Конфиденциальность, целостность и доступность оценены как высокие, что в сумме даёт 9,8. По CVSS 2.0 базовая оценка максимальная - 10. При этом в описании BDU последствие одно: отказ в обслуживании. Ядро перестаёт нормально работать, и система теряет доступность.
Диапазоны уязвимых версий ядра
Уязвимость выявили 14 мая 2026 года. В списке BDU шесть диапазонов: от 5.15.61 до 5.15.209, от 5.17 до 6.1.175, от 6.2 до 6.6.142, от 6.7 до 6.12.92, от 6.13 до 6.18.34 и от 6.19 до 7.0.11. Нижние границы показывают, что исправление придётся переносить в уже выпущенные ветки, а не только в основную линию разработки. Отсюда и широкий список дистрибутивов: каждый из них собирает ядро со своей конфигурацией и своим набором перенесённых правок.
Отдельного упоминания заслуживают Debian 9 и Debian 10. Обе ветки давно вышли из обычного цикла поддержки, и отметки об уязвимости для них ведёт проект расширенной поддержки Freexian. Это значит, что исправление появится там позже и не для всех редакций.
Наличие готового эксплойта (вредоносного кода, использующего уязвимость) в бюллетене не подтверждено: статус соответствующей графы - данные уточняются. Сведений о применении уязвимости в реальных атаках в источнике нет. Ошибка затрагивает ядро, то есть нижний слой системы, поэтому её последствия одинаково касаются физических серверов, виртуальных машин и контейнеров, работающих на общей основе.
Astra Linux и обновлённые пакеты ядра
Для Astra Linux Special Edition 1.7 исправление вышло в составе двух пакетов. Пакет linux-6.1 обновляют до версии 6.1.188-1.astra1+ci1 или более высокой, пакет linux-5.15 - до 5.15.0-191.astra1+ci235 или более высокой. Обе версии указаны в бюллетене 2026-1002SE17HF. Вендор подтвердил уязвимость, то есть проблема воспроизводится и не относится к разряду теоретических.
Debian и Ubuntu
Дистрибутивы сообщества отмечают CVE-2026-64033 в собственных трекерах безопасности, где видно состояние каждого выпуска. Для Debian сводка ведётся в трекере проекта и в трекере расширенной поддержки Freexian, для Ubuntu - на портале безопасности Canonical. Администраторам стоит сверяться именно с этими страницами, поскольку сроки переноса правок в стабильные ветки различаются, а ядро в дистрибутиве обновляется своими пакетами, а не загрузкой с сайта kernel.org.
Что делать пользователям и администраторам
Владельцам Astra Linux Special Edition 1.7 нужно обновить пакеты ядра 6.1 и 5.15 до указанных версий и перезагрузить систему, иначе новое ядро не заработает. Пользователям Debian и Ubuntu следует отслеживать статус пакета в трекере вендера и ставить обновление сразу после его появления; для систем на расширенной поддержке действует тот же порядок, но с задержкой. Если обновление недоступно, ФСТЭК России советует опираться на методический документ "Рекомендации по безопасной настройке операционных систем Linux" от 25 декабря 2022 года. В нём описан набор настроек, снижающих поверхность атаки на ядро и системные службы.
Стоит помнить о характере такой ошибки. Переполнение буфера или ошибка в сетевом стеке обычно локализованы в одном компоненте, а разыменование просроченного указателя проявляется там, где ядро работает со структурами данных, разделяемыми между подсистемами. Именно поэтому одно исправление приходится вносить в шесть веток одновременно. Для крупных инфраструктур это означает растянутый во времени цикл обновлений и необходимость вести учёт версий ядра на каждом узле. Отказ в обслуживании на граничном устройстве или гипервизоре обходится дороже, чем кажется по формулировке бюллетеня: недоступный сервер останавливает сервисы, а недоступный гипервизор - все виртуальные машины на нём.
Ссылки
- https://bdu.fstec.ru/vul/2026-18236
- https://www.cve.org/CVERecord?id=CVE-2026-64033
- https://nvd.nist.gov/vuln/detail/CVE-2026-64033
- https://security-tracker.debian.org/tracker/CVE-2026-64033
- https://deb.freexian.com/extended-lts/tracker/CVE-2026-64033
- https://git.kernel.org/linus/5b74373390113fba798a76b483837029ab010fef
- https://git.kernel.org/stable/c/00904a73272b9f3ef3952fe69a833909dccad1ef
- https://git.kernel.org/stable/c/01e42aabaf7632beb4bf235c7238b96c746d4144
- https://git.kernel.org/stable/c/548f3956e53a7f7bde912d8129010b8986d5e602
- https://git.kernel.org/stable/c/5b74373390113fba798a76b483837029ab010fef
- https://git.kernel.org/stable/c/92060ab1c5115674cf319175550f85f68405121f
- https://git.kernel.org/stable/c/b0e9706fb2859064bb6c677554c4d20c713aa8e0
- https://git.kernel.org/stable/c/eae62c5451e67e8b033c1681fd3b85d7e9a9a28f
- https://github.com/torvalds/linux/commit/5b74373390113fba798a76b483837029ab010fef
- https://wiki.astralinux.ru/astra-linux-se17-bulletin-2026-1002SE17HF
- https://ubuntu.com/security/CVE-2026-64033
