Уязвимость в SMB-сервере ядра Linux открывает путь к исчерпанию ресурсов в Debian, Ubuntu и РЕД ОС

Серверный компонент SMB в ядре Linux содержит уязвимость BDU:2026-16892 (CVE-2026-72381), которая позволяет удалённому злоумышленнику влиять на конфиденциальность, целостность и доступность данных. Оценка по CVSS 3.1 - 9,8 из 10. Уязвимость затрагивает Debian 9, 10 и 13, Ubuntu 24.04 и 26.04 LTS, Red Hat Enterprise Linux 10, РЕД ОС 8.0 и четыре ветки самого ядра. Исправления уже вышли, но обновиться успели не все.

Уязвимость CVE-2026-72381 в SMB-сервере ядра Linux

Ошибка относится к классу CWE-664, недостаточный контроль ресурса в период его существования. Проще говоря, код выделяет системные ресурсы и не освобождает их вовремя. В серверной части SMB сбой затрагивает кэш виртуальной файловой системы. Каждое сетевое обращение оставляет запись, а накопление таких записей постепенно расходует память и связанные с ней структуры узла.

В карточке Банка данных угроз безопасности информации (BDU) способом эксплуатации названо исчерпание ресурсов. На практике это означает, что поток однотипных запросов к файловому сервису способен довести систему до деградации, а в предельном случае - до отказа в обслуживании. Уязвимость выявили 26 июня 2026 года, производитель её подтвердил.

Атака идёт по сети, не требует учётных данных и не ждёт действий пользователя. Сложность низкая, привилегии не нужны. Именно такой набор параметров даёт 9,8 по CVSS 3.1; по устаревшей шкале CVSS 2.0 оценка равна 10. Данных о реальном применении пока нет: в источнике статус наличия эксплойта отмечен как уточняющийся. Отсутствие подтверждённых атак не отменяет главного - барьер для входа у злоумышленника почти нулевой.

Круг затронутых систем широк. Помимо Debian, Ubuntu, Red Hat Enterprise Linux и РЕД ОС, в перечне указаны ветки ядра с 6.6.142 по 6.6.145, с 6.12.92 по 6.12.97, с 6.18.25 по 6.18.40 и с 7.0.2 по 7.1.5. Серверную часть SMB в ядре применяют файловые серверы и сетевые хранилища под управлением Linux, поэтому риск касается прежде всего инфраструктуры, где общий доступ к файлам открыт большому числу сотрудников или партнёров.

Отдельного внимания требует возраст дистрибутивов. Debian 9 и Debian 10 давно вышли из обычного цикла поддержки, и исправления для них доступны в рамках расширенной поддержки. Ubuntu 24.04 и 26.04 LTS, Red Hat Enterprise Linux 10 и РЕД ОС 8.0 получают обновления штатно. Разница в сроках доставки патча здесь важнее, чем сам рейтинг: пока одни администраторы обновляются через обычный канал, другим нужно подключать дополнительные репозитории.

Правки для ядра вошли в стабильные ветки и доступны в виде отдельных патчей. Вендоры дистрибутивов обновили пакеты ядра; РЕД ОС публикует сборки в собственном репозитории обновлений для архитектур x86_64 и aarch64. Статус уязвимости в BDU - устранена.

Что делать администраторам

Обновите ядро до версии новее перечисленных в источнике диапазонов. В Debian и Ubuntu это стандартное обновление пакета ядра с последующей перезагрузкой; без перезагрузки новый код не заработает, поэтому планируйте окно обслуживания. Для Debian 9 и 10 подключите канал расширенной поддержки, иначе исправление просто не придёт. В РЕД ОС 8.0 обновляйтесь из репозитория проекта.

Если установка патча откладывается, закройте доступ к файловому сервису из недоверенных сетей. Достаточно оставить SMB-порты открытыми только внутри доверенного сегмента и запретить публикацию файловых сервисов в интернет. Такая мера не устраняет уязвимость, но снимает удалённый вектор, который и определяет высокий рейтинг.

История с ядром Linux показывает, где сейчас болит чаще всего. Сетевые подсистемы ядра обрабатывают чужие данные без аутентификации, и любая ошибка в управлении памятью или ресурсами сразу получает высокую оценку. Для владельцев файловых серверов и сетевых хранилищ это означает одно: срок между публикацией патча и его установкой становится главной мерой защиты.

Уязвимость CVE-2026-72381 в SMB-сервере ядра Linux

Что делать администраторам

Ссылки