Trzy luki jądra Linux z katalogu KEV: sprawdź i załataj

CISA dodała 18 września 2026 do katalogu Known Exploited Vulnerabilities trzy luki jądra Linux naraz. Dwie z nich mają łatki od jesieni 2025 roku, trzecia od czerwca 2026. Poniżej znajdziesz, czego dotyczy każda luka, kiedy w ogóle da się ją wykorzystać, które wersje pakietów w Debianie, Ubuntu i RHEL ją naprawiają oraz jak sprawdzić własny serwer. Stan poprawek w dystrybucjach opisuje sytuację z 12 października 2026.

1. Co CISA dodała do katalogu KEV

Według katalogu KEV wszystkie trzy wpisy mają datę dodania 18 września 2026 i termin dla agencji federalnych 21 września 2026. Przy każdym CISA zaznaczyła, że użycie w kampaniach ransomware jest nieznane, a oprócz poprawki wymaga analizy śledczej systemu (forensic triage). Katalog nie podaje, kto wykorzystuje luki ani w jakich atakach.

Krótki termin wynika z dyrektywy BOD 26-04 z 10 czerwca 2026. Liczy ona czas na poprawkę z obecności w KEV, dostępności zasobu z internetu i ocen SSVC. CVE-2025-39682 CISA oceniła jako automatyzowalną, więc termin to 3 dni dla wszystkich systemów. Dla dwóch pozostałych to 3 dni na serwerach dostępnych publicznie i 14 dni na wewnętrznych. Czym jest sam katalog, opisaliśmy przy wrześniowym Patch Tuesday.

2. Trzy luki i warunki ich wykorzystania

Wersje graniczne w tabeli pochodzą z rekordów CVE opublikowanych przez kernel.org jako CNA. Wersja „poprawione w” oznacza pierwsze wydanie danej gałęzi jądra z łatką. Dystrybucje przenoszą poprawki do własnych pakietów, więc numer jądra w Debianie czy RHEL trzeba porównywać z ich biuletynami, a nie z tabelą.

CVE	Podsystem	Podatne od	Poprawione w gałęziach	Warunek według Red Hat
CVE-2025-39682	kTLS, odbiór rekordów	6.0	6.1.149, 6.6.103, 6.12.44, 6.16.4, 6.17	używany kernel TLS
CVE-2026-53266	ebtables SNAT, ARP	5.10	5.10.259, 5.15.210, 6.1.176, 6.6.143, 6.12.94, 6.18.36, 7.0.13, 7.1	reguły ebtables SNAT na ruchu ARP
CVE-2025-39964	AF_ALG, af_alg_sendmsg	2.6.38	5.10.245, 5.15.194, 6.1.154, 6.6.108, 6.12.49, 6.16.9, 6.17	brak, dotyczy praktycznie każdego jądra

2.1. CVE-2025-39682 w kTLS

Według rekordu CVE rekord TLS o zerowej długości pobrany z kolejki rx_list omija obsługę typu rekordu w recvmsg(), przez co kolejne rekordy są przetwarzane przy błędnych założeniach. NVD ocenia lukę na 9.8 z wektorem sieciowym bez uwierzytelnienia. Red Hat daje 7.0 i pisze, że da się ją wywołać zdalnie tylko wtedy, gdy system używa kernel TLS (moduł tls). Jako obejście Red Hat zaleca zablokowanie ładowania modułu tls. Jądra starsze niż 6.0 nie są podatne, dlatego Ubuntu 22.04 na jądrze 5.15 i RHEL 8 nie wymagają tu poprawki.

2.2. CVE-2026-53266 w ebtables

Ta luka to zapis poza granicą bufora. Cel SNAT w ebtables, przepisując adres sprzętowy nadawcy w pakiecie ARP, może pisać do fragmentu bufora gniazda, który jest stroną pliku zaimportowaną przez splice. Ocena drugorzędna w NVD wynosi 8.8 z wektorem lokalnym, Red Hat ocenia ją na 7.5 i zwraca uwagę, że wymaga skonfigurowanych reguł bridge netfilter z SNAT na ruchu ARP. Zalecane obejście to wyłączenie przepisywania adresu ARP w takich regułach albo ich usunięcie z interfejsów mostka.

2.3. CVE-2025-39964 w AF_ALG

AF_ALG to interfejs gniazd, przez który programy w przestrzeni użytkownika korzystają z kryptografii jądra. Równoczesne zapisy do tego samego gniazda przeplatają dane i psują jego stan. NVD ocenia lukę na 5.5, ocena drugorzędna to 7.8, a Red Hat daje 7.3 i nie podaje żadnego obejścia. Błąd istnieje od jądra 2.6.38 i nie zależy od konfiguracji, więc z tej trójki ma największy zasięg. To ten sam interfejs, którego dotyczyła luka Copy Fail (CVE-2026-31431) w module algif_aead, wpisana do KEV 1 maja 2026.

3. Łatki starsze niż wpis do KEV

Dwie luki z września mają poprawki od ponad roku. CVE-2025-39682 kernel.org opublikował 5 września 2025. Red Hat wydał poprawki 29 września 2025, Ubuntu od USN-7833-1 z 21 października 2025, a Debian w DSA-6008-1 i DSA-6009-1. CVE-2025-39964 pojawiła się 13 października 2025, Debian wydał DSA-6053-1, a Ubuntu biuletyny od USN-7907-1 z 3 grudnia 2025.

Wyjątkiem jest Red Hat przy CVE-2025-39964. Poprawki dla RHEL 8, 9 i 10 (RHSA-2026:70402, RHSA-2026:70459, RHSA-2026:70498) wyszły dopiero 22 i 23 września 2026, czyli po wpisie do KEV. To samo dotyczy pochodnych. AlmaLinux wydał je jako ALSA-2026:70402 i ALSA-2026:70459. Jeśli więc system z rodziny RHEL nie był aktualizowany od połowy września, jest podatny na CVE-2025-39964 nawet przy regularnym łataniu wcześniej.

4. Stan poprawek w dystrybucjach na 12 października

Dystrybucja	CVE-2025-39682	CVE-2026-53266	CVE-2025-39964
Debian 12 bookworm	6.1.153-1	6.1.176-1	6.1.158-1
Debian 13 trixie	6.12.48-1	6.12.94-1	6.12.57-1
Ubuntu 24.04, jądro linux	6.8.0-86.87	6.8.0-146.146	6.8.0-90.91
Ubuntu 22.04, jądro linux	niepodatne	5.15.0-198.208	5.15.0-164.174
Ubuntu 22.04, linux-hwe-6.8	6.8.0-86.87~22.04.1	podatne, poprawka w toku	6.8.0-90.91~22.04.1
RHEL 9	RHSA-2025:16880	RHSA-2026:36645	RHSA-2026:70459
RHEL 10	RHSA-2025:16904	RHSA-2026:71233	RHSA-2026:70498

Wersje dla Debiana pochodzą z Debian Security Tracker. Bieżące jądra w bookworm-security i trixie-security zawierają wszystkie trzy poprawki.

Ubuntu do 8 października miało dla CVE-2026-53266 łatkę tylko w jądrach 7.0. Tego dnia ukazał się USN-8903-1 z jądrem 6.8.0-146.146 dla 24.04. Według trackera Ubuntu, zaktualizowanego 12 października, podatne pozostają linux-hwe-6.8 w 22.04, linux-hwe-6.17 w 24.04 i jądro Ubuntu 20.04. Jeśli używasz jądra HWE 6.17 w 24.04, rozważ przejście na linux-hwe-7.0, które ma poprawkę w wersji 7.0.0-31.31~24.04.1. W RHEL 9 pakiet kernel-rt dla CVE-2026-53266 ma nadal status „Affected”.

5. Jak sprawdzić i załatać system

Najpierw sprawdź, które jądro faktycznie działa, i porównaj wersję z tabelą z sekcji 4. Zainstalowany pakiet nie wystarcza, liczy się jądro uruchomione:

uname -r
dpkg -l 'linux-image*' | grep ^ii   # Debian, Ubuntu
rpm -q kernel                        # RHEL, AlmaLinux, Rocky Linux

Potem sprawdź, czy moduły związane z lukami są załadowane i czy masz reguły ebtables SNAT. Brak modułu tls i brak reguł SNAT w tablicy nat znaczą, że kod dwóch pierwszych luk nie jest teraz używany. Trzecia, w AF_ALG, i tak wymaga aktualizacji:

grep -E '^(tls|ebt_snat|af_alg|algif_[a-z]+) ' /proc/modules
ebtables -t nat -L

Aktualizację wykonasz standardowo poleceniem apt full-upgrade albo dnf update kernel. Nowe jądro zadziała dopiero po restarcie, co USN-8903-1 wprost zaznacza. W Debianie i Ubuntu plik /var/run/reboot-required pokazuje, że restart jest potrzebny, a w RHEL robi to polecenie needs-restarting -r. Jeżeli nie możesz od razu zrestartować serwera z kTLS, Red Hat opisuje blokadę modułu tls wpisem install tls /bin/false w katalogu /etc/modprobe.d/.

6. Proxmox VE

W oficjalnym wątku Proxmox VE Security Advisories do 12 października 2026 nie ma komunikatu PSA o żadnej z trzech luk. Ostatnie komunikaty dotyczące jądra to PSA-2026-00037-1 i PSA-2026-00038-1 z 10 sierpnia 2026, z poprawkami w proxmox-kernel 7.0.14-11 dla Proxmox VE 9 i 6.8.12-41 dla Proxmox VE 8.

Brak komunikatu nie oznacza, że jądro jest bezpieczne. Wersję jądra sprawdzisz poleceniem pveversion -v, a listę poprawek w pakiecie poleceniem apt changelog z nazwą zainstalowanego pakietu proxmox-kernel. Szukaj w nim numerów CVE z tego artykułu. Zanim zrestartujesz host po aktualizacji, upewnij się, że masz aktualną kopię zapasową maszyn.

7. Podsumowanie

Z trzech luk tylko CVE-2025-39964 w AF_ALG dotyczy praktycznie każdego jądra bez względu na konfigurację. Dwie pozostałe wymagają kTLS albo reguł ebtables SNAT dla ARP. W Debianie i większości jąder Ubuntu łatki są dostępne, w RHEL komplet poprawek jest od 24 września 2026. Najdłużej czekają użytkownicy jąder HWE w Ubuntu i Proxmox VE, w którym trzeba samodzielnie sprawdzić changelog jądra. W każdym przypadku aktualizacja kończy się restartem, a jądra z gałęzi longterm na kernel.org mają wszystkie trzy poprawki.