Уязвимость в драйвере ENETC ядра Linux ведёт к исчерпанию ресурсов в Ubuntu, Debian, РЕД ОС и RHEL

В ядре Linux появилась уязвимость BDU:2026-16901 (CVE-2026-72399) в драйвере enetc, который обслуживает сетевые контроллеры ENETC. Банк данных угроз безопасности информации (BDU) присвоил ей критический уровень опасности: 9,8 по CVSS 3.1 и 10 по более старой версии методики CVSS 2.0. Атака идёт по сети, не требует учётных данных и не ждёт действий пользователя. Успешная эксплуатация задевает конфиденциальность, целостность и доступность защищаемой информации. В перечне уязвимого программного обеспечения - Debian, Ubuntu, РЕД ОС, Red Hat Enterprise Linux 10 и само ядро Linux в ветках с 5.13 по 7.1.5.

CVE-2026-72399 в драйвере ENETC ядра Linux

Ошибка относится к классу CWE-664, недостаточный контроль ресурса в период его существования. Такой класс объединяет случаи, когда код теряет контроль над временем жизни объекта: обращается к структуре после её освобождения либо не освобождает память вовремя. BDU называет способ эксплуатации прямо - исчерпание ресурсов. Проблемный участок sits в функции enetc_xdp_xmit(). Это часть драйвера, которая отвечает за быструю отправку пакетов через XDP (механизм обработки сетевого трафика в обход обычного стека ядра).

Сеть - единственный канал воздействия, поэтому уязвимость интересна прежде всего тем, кто может дотянуться до интерфейса. При исчерпании ресурсов драйвер перестаёт корректно обслуживать очередь передачи. Дальше возможны два сценария. Первый - отказ в обслуживании: интерфейс теряет работоспособность, трафик встаёт. Второй - работа с уже освобождённой памятью, а значит повреждение данных и утечка содержимого памяти ядра. Высокие оценки по целостности и конфиденциальности говорят о том, что последствия не сводятся к остановке сетевого обмена. Исходные данные не раскрывают, какой именно сценарий отработан на практике.

Затронутые версии перечислены широко. В списке ядро Linux в диапазонах с 5.13 по 6.1.178, с 6.2 по 6.6.145, с 6.7 по 6.12.97, с 6.13 по 6.18.40 и с 6.19 по 7.1.5. Из дистрибутивов в BDU указаны Debian 9, 10, 12 и 13, Ubuntu 20.04, 22.04, 24.04 и 26.04 LTS, РЕД ОС 7.3 и 8.0, Red Hat Enterprise Linux 10.

Важное уточнение про охват. Драйвер enetc работает с контроллерами ENETC производства NXP, которые ставят в промышленные и встраиваемые платформы, а не в массовые серверы на архитектуре x86. На типовой стойке с обычным сетевым адаптером этот код просто не задействован. Формальный список дистрибутивов поэтому шире реальной экспозиции: под удар попадают устройства и шлюзы на соответствующих платформах, а также системы, где такой интерфейс выведен наружу. Для промышленного сегмента это существенно, поскольку там сетевой отказ означает остановку технологического процесса, а не только потерю связи.

Сведений об эксплуатации в реальных атаках нет. BDU помечает наличие эксплойта как данные, которые уточняются, публичного рабочего образца вредоносного кода в открытых источниках не упоминается. Отсутствие эксплойта снижает срочность, но не отменяет обновление: ошибки управления временем жизни объекта обычно становятся удобной целью после появления разбора уязвимости.

Патчи разошлись по стабильным веткам, и дистрибутивы подтянули их в свои пакеты. Debian отслеживает CVE-2026-72399 в своём трекере безопасности и в репозитории расширенной поддержки старых выпусков. Ubuntu публикует данные на портале безопасности. РЕД ОС выложила обновления в репозиториях для 7.3 и 8.0 на архитектурах x86_64 и aarch64. Red Hat ведёт запись в своём трекере по идентификатору CVE-2026-72399.

Что делать

Обновите пакет ядра до версии, в которой исправление уже включено, и перезагрузите систему. Без перезагрузки новое ядро не начнёт работать, а старый модуль останется в памяти. В Debian и Ubuntu подойдёт штатное обновление из репозитория безопасности. В РЕД ОС нужные пакеты лежат в репозиториях обновлений для 7.3 и 8.0. Проверьте, что на устройствах с сетевыми контроллерами ENETC обновление действительно установлено: именно они и представляют интерес для атакующего. Если обновление отложено, ограничьте доступ к интерфейсу со стороны недоверенных сетей - фильтрация на периметре снижает вероятность эксплуатации по сети.

История с CVE-2026-72399 показывает, насколько глубоко в ядре может прятаться ошибка управления ресурсами. Формально критическая оценка и широкий список дистрибутивов выглядят тревожно. Фактический риск определяется оборудованием: там, где драйвер ENETC не используется, экспозиции нет. Там, где он несёт сетевой трафик промышленной системы, обновление стоит закрыть в ближайшее окно обслуживания.

CVE-2026-72399 в драйвере ENETC ядра Linux

Что делать

Ссылки