Ядро Linux в Debian, Ubuntu, RHEL и Astra Linux допускает удалённый отказ в обслуживании

Ошибка обращения к памяти после её освобождения в ядре Linux получила идентификатор CVE-2026-63994 и оценку 9,8 по CVSS 3.1. Уязвимость позволяет злоумышленнику, работающему по сети, вывести систему из строя без учётной записи и без действий со стороны пользователя. Затронуты Debian, Ubuntu, Red Hat Enterprise Linux, Astra Linux Special Edition, а также само ядро в ветках от 5.9 до 7.0.12.

CVE-2026-63994 в ядре Linux и дистрибутивах на его основе

Механизм ошибки относится к классу "использование после освобождения" (CWE-416). Ядро возвращает участок памяти в общий пул, но сохраняет указатель на него. Обращение по такому указателю отдаёт данные, которые уже занял другой объект. Злоумышленник подбирает содержимое этих структур, и ядро теряет устойчивость. В карточке Банка данных угроз безопасности информации (BDU) способ эксплуатации описан как манипулирование структурами данных, а заявленное последствие - отказ в обслуживании.

Уровень опасности в BDU - критический. Оценка по CVSS 3.1 составляет 9,8, по устаревшей CVSS 2.0 - 10. Вектор описывает атаку из сети с низкой сложностью, без привилегий и без участия пользователя. Сведения о применении уязвимости в реальных атаках отсутствуют, наличие эксплойта уточняется. Производитель подтвердил проблему, дата выявления - 25 мая 2026 года. Базовый вектор учитывает воздействие не только на доступность, но и на конфиденциальность и целостность, поэтому отказ в обслуживании не стоит считать единственным возможным сценарием.

Затронутые дистрибутивы и ветки ядра

Перечень в BDU охватывает Debian с девятой по тринадцатую версию, Ubuntu 20.04, 22.04, 24.04 и 26.04 LTS, Red Hat Enterprise Linux 8, 9 и 10, Astra Linux Special Edition 1.7. Отдельно указан Shadow Migration Toolkit for Virtualization for RHEL 10 - прикладной пакет того же вендора. Для Astra Linux важна запись в едином реестре российских программ, поскольку такие системы чаще встречаются в госсекторе и на объектах критической информационной инфраструктуры.

В самом ядре уязвимы ветки на всём отрезке от 5.9 до 7.0.12, включая длительно поддерживаемые линии 5.10, 5.15, 6.1, 6.6 и 6.12. Ядро лежит в основе серверов, рабочих станций, гипервизоров и контейнерных сред. Одна ошибка в общем компоненте расходится по инфраструктуре вместе с дистрибутивами, которые переносят исправление с разной скоростью.

Что делать администраторам

Astra Linux Special Edition 1.7 получает исправление в пакетах linux-5.10 версии 5.10.270-1.astra1+ci97 и выше, linux-6.1 версии 6.1.188-1.astra1+ci1 и выше, linux-5.15 версии 5.15.0-199.astra1+ci233 и выше. Debian ведёт собственный трекер CVE-2026-63994, включая расширенную поддержку старых выпусков. Ubuntu и Red Hat опубликовали страницы с перечнем закрытых пакетов и версий.

Если пакет для конкретной системы пока недоступен, BDU отсылает к методическому документу ФСТЭК России от 25 декабря 2022 года о безопасной настройке Linux. Обновление ядра требует перезагрузки, поэтому работы лучше планировать заранее. Проверять стоит не только серверы, но и ноутбуки администраторов, тестовые стенды и системы виртуализации.

Исправление уже вошло в основную ветку ядра, и дистрибутивы переносят его в свои репозитории. Скорость установки здесь важнее аккуратности формулировок в бюллетене. Пока одни системы получают новый пакет, другие остаются уязвимыми - и именно этот разрыв чаще всего используют злоумышленники.

CVE-2026-63994 в ядре Linux и дистрибутивах на его основе

Затронутые дистрибутивы и ветки ядра

Что делать администраторам

Ссылки