Ядро Linux содержит две уязвимости с удалённым воздействием на более чем двадцать выпусков дистрибутивов

Две уязвимости в ядре Linux дают удалённому злоумышленнику возможность влиять на конфиденциальность, целостность и доступность системы. Одна связана с сетевой файловой системой AFS, вторая с механизмом очередей сетевых пакетов fq_codel. У обеих критический уровень опасности: 9,8 по шкале CVSS 3.1 и 10 по CVSS 2.0. Уязвимы Ubuntu, Debian, Red Hat Enterprise Linux, РЕД ОС и основная ветка ядра Linux.

Две уязвимости ядра Linux в сетевых подсистемах

Обе проблемы относятся к классу ошибок управления потоком выполнения (CWE-691). Проще говоря, код может пойти не по тому сценарию, который задумали разработчики. Записи опубликованы в Банке данных угроз безопасности информации (BDU) под номерами BDU:2026-16804 и BDU:2026-16830. Производитель подтвердил обе уязвимости. Данных об эксплуатации в реальных атаках в открытых источниках пока нет, сведения о готовом эксплойте уточняются.

Уязвимость в сетевой файловой системе AFS

Первая уязвимость, CVE-2026-74427, затрагивает компонент, который обслуживает удалённые вызовы процедур в AFS. AFS это сетевая файловая система. Она позволяет работать с файлами на сервере так же, как с локальными. Подсистема rxrpc отвечает за удалённый вызов процедур (RPC), то есть за выполнение операций на другом узле по сети. Ошибка в управлении потоком выполнения открывает удалённому злоумышленнику путь к воздействию на данные и доступность системы.

Атака не требует учётной записи и действий пользователя. Вектор CVSS указывает на низкую сложность эксплуатации. Злоумышленник действует по сети и не нуждается в предварительном доступе к системе.

Уязвимость в планировщике пакетов fq_codel

Вторая уязвимость, CVE-2026-80630, находится в планировщике сетевых пакетов fq_codel. Этот механизм управляет очередями пакетов и сглаживает задержки при передаче данных. Ошибка того же класса CWE-691 позволяет удалённому злоумышленнику влиять на конфиденциальность, целостность и доступность. Ограничений по аутентификации и действиям пользователя нет, это следует из вектора CVSS. Производитель подтвердил проблему. Готовый эксплойт в открытых данных не указан. Обе уязвимости затрагивают сетевой код ядра, который обрабатывает данные из внешней среды.

Обновления для дистрибутивов и ядра

Список затронутых систем широк. В него входят Ubuntu с 14.04 LTS по 26.04 LTS, Debian GNU/Linux с 9 по 13, Red Hat Enterprise Linux с 7 по 10 и РЕД ОС 7.3 и 8.0. Основная ветка ядра Linux уязвима в диапазонах от 4.9 до 7.1.5. Это охватывает несколько стабильных веток, которые получают отдельные исправления.

Исправления уже вышли. Разработчики ядра исправили ошибки в стабильных ветках. Дистрибутивы опубликовали обновлённые пакеты. Для РЕД ОС обновления доступны в репозиториях версий 7.3 и 8.0. Для Debian и Ubuntu их можно получить через штатные каналы безопасности. Red Hat включила исправления в обычные каналы поддержки. В BDU указано, что уязвимости устранены.

Администраторам стоит обновить пакеты ядра через штатный менеджер пакетов дистрибутива. После установки нового ядра нужна перезагрузка. Без неё система продолжит работать со старым кодом. Для основной ветки Linux обновление берут из стабильной ветки, которую указали в рекомендациях BDU.

Заключение

Обе уязвимости затрагивают сетевые компоненты ядра. Такой код работает с данными, которые приходят извне. Ошибка в нём открывает удалённый вектор атаки без учётной записи и действий пользователя. Исправление важно и для серверов, и для рабочих станций с включёнными сетевыми службами. Задержка с обновлением оставляет систему уязвимой для удалённого воздействия.