30 секунд
CISA предупредила об эксплуатации трёх уязвимостей ядра Linux: CVE-2025-39964, CVE-2026-53266 и CVE-2025-39682. BleepingComputer 21 сентября сообщила о высшем приоритете для федеральных ведомств США и требовании исследовать следы возможных атак. Ошибки затрагивают разные подсистемы; сведения об инцидентах не раскрыты. Для одной предложенной цепочки повышения прав исследователь прямо отметил отсутствие публичной демонстрации, несмотря на общий статус эксплуатации.
Подробнее
В сообщении BleepingComputer три уязвимости ядра Linux отмечены CISA как эксплуатируемые. Федеральные ведомства США должны были применять исправления или меры снижения риска к указанному сентябрьскому сроку. Этот административный срок относится к ним; статья не описывает универсальную дату для всех владельцев Linux.
Разные подсистемы и разные подтверждения
CVE-2025-39964 связана с состоянием криптографического сокета AF_ALG при конкурентных записях. CVE-2026-53266 относится к записи за границами в ebtables SNAT. CVE-2025-39682 касается обработки пустых записей в пути приёма TLS ядра. Общий перечень не делает их одним техническим механизмом.
CISA не раскрыла детали атак. STAR Labs сообщила о демонстрации повышения прав и выхода из контейнера для первой ошибки. Для второй исследователь описал возможную цепочку по аналогии с Dirty Pipe, но указал, что этот вариант публичным кодом не показан. Все три записи требуют проверки следов прежней эксплуатации, а не только изменения версии.
Что это значит
Исправление и поиск следов отвечают на разные вопросы
Требование CISA о forensic triage дополняет исправление трёх ошибок Linux. Обновление меняет возможность будущего использования уязвимости, а проверка следов относится к тому, что могло случиться раньше. Поэтому версия установленного ядра сама по себе не отвечает на вопрос о прошлой компрометации.
Статус эксплуатации от CISA и публичная демонстрация конкретного технического пути — разные уровни сведения. Один предложенный путь для ebtables остаётся выводом по аналогии. Это ограничение не отменяет сообщения об атаках, но не позволяет приписывать публичному исследованию доказательство каждого способа повышения прав.
