Amerykańska Agencja ds. Cyberbezpieczeństwa i Bezpieczeństwa Infrastruktury (CISA) ogłosiła, że trzy luki w zabezpieczeniach jądra Linuksa są aktywnie wykorzystywane w rzeczywistych środowiskach. 18 września luki te zostały dodane do katalogu znanych luk wykorzystywanych (KEV), dając agencjom federalnym 72 godziny na wdrożenie odpowiednich poprawek, zgodnie z Dyrektywą BOD 26-04. Problem ten nie dotyczy jednak wyłącznie sektora publicznego: każda organizacja korzystająca z Linuksa w środowisku produkcyjnym, od serwerów po farmy renderujące, powinna natychmiast zwrócić na niego uwagę.
Tymczasem sztuczna inteligencja całkowicie zmienia krajobraz bezpieczeństwa open source. Z jednej strony narzędzia takie jak GLM-5.3 odkryły ponad tysiąc nowych luk w zabezpieczeniach w krytycznych projektach, w tym w jądrze Linuksa. Z drugiej strony, ta lawina odkryć przytłacza opiekunów, którzy ledwo mają czas na przeglądanie raportów i poprawek, z których wiele jest trywialnych lub powtarzających się. Ta sytuacja skłoniła samego Linusa Torvaldsa do wyrażenia frustracji i wdrożenia bardziej rygorystycznych środków w przypadku przyszłych integracji.
Trzy luki, które niepokoją CISA
Zidentyfikowane luki w zabezpieczeniach to CVE-2025-39682, CVE-2025-39964 i CVE-2026-53266. Pierwsza z nich, z oceną CVSS od 7.1 według NVD do 9.8 według SecurityWeek, znajduje się w implementacji oprogramowania protokołu TLS (net/tls/tls_sw.c). Jest ona aktywowana, gdy atakujący przetwarza rekord TLS o zerowej długości w trybie zerowej kopii, uszkadzając licznik odwołań bufora i powodując zdarzenie „użyj po zwolnieniu”. Może to spowodować wiele zdarzeń, od awarii jądra po wyciek poufnych informacji. Dotyczy ona wersji od 6.0 do 6.16.3 oraz wersji Release Candidate 6.17-rc1/rc2.
Druga luka, CVE-2025-39964, znajduje się w interfejsie AF_ALG interfejsu API kryptografii przestrzeni użytkownika. Jest to sytuacja wyścigu, która pozwala dwóm współbieżnym zapisującym na przeplatanie danych na tym samym gnieździe, co powoduje niespójność stanu wewnętrznego. Chociaż jej wynik CVSS waha się między 3.3 (NVD), 5.5 (Red Hat) i 7.8 (CNA), jej umieszczenie w katalogu KEV potwierdza, że luka jest realna i niebezpieczna. Wreszcie, luka CVE-2026-53266 wpływa na cel ebt_snat mostu netfilter, umożliwiając zapis poza zakresem do pamięci jądra podczas przetwarzania pakietu ARP w nieliniowym buforze gniazda. Z wynikiem CVSS na poziomie 8.8 jest to wyraźny wektor lokalnej eskalacji uprawnień.
Sztuczna inteligencja przytłacza osoby odpowiedzialne za utrzymanie jądra
Wzrost liczby zgłaszanych luk w zabezpieczeniach nie jest przypadkowy. Według danych przedstawionych przez Grega Kroah-Hartmana na konferencji Kernel Recipes 2026, liczba załatanych luk CVE w każdej wersji jądra wzrosła z około 500 w wersjach 6.9–6.19 do ponad 1.000 począwszy od Linuksa 7.0 i ponad 1.500 w Linuksie 7.2. Prognozy sugerują, że Linux 7.3 może przekroczyć 2.000. W dużej mierze ten wzrost przypisuje się wykorzystaniu sztucznej inteligencji do audytu kodu . Jednak większość ustaleń ma niski priorytet lub dotyczy starszych sterowników, a wiele z nich to duplikaty.
Obciążenie pracą konserwatorów stało się niemożliwe do utrzymania. Linus Torvalds ostrzegał już wcześniej, że lista poprawek bezpieczeństwa jądra stała się „prawie całkowicie niemożliwa do opanowania”. Jakub Kiciński, odpowiedzialny za podsystem sieciowy, stwierdził wręcz: „Jesteśmy całkowicie przeciążeni”. Co więcej, Torvalds narzekał, że wiele poprawek pojawia się na zaawansowanych etapach rozwoju, jak na przykład w przypadku wydania Linuksa 7.1 RC5, podczas gdy powinny być proponowane wcześniej. Obiecał, że będzie mniej elastyczny i odrzuci żądania ściągnięcia, które nie oferują realnej wartości. Taka sytuacja nie tylko wpływa na stabilność, ale może również zagrozić bezpieczeństwu, ponieważ odpowiednie poprawki mogą zostać zagubione w szumie informacyjnym.
Zalecenia i środki zaradcze dla administratorów
W obliczu tej fali luk w zabezpieczeniach administratorzy systemów muszą działać szybko i nie polegać wyłącznie na oficjalnych poprawkach. W przypadku trzech luk CISA CVE priorytetem jest aktualizacja jądra do poprawionej wersji używanej dystrybucji. W przypadku niedawno zidentyfikowanej luki w zabezpieczeniach af_unix (CVE-2026-80521) zaleca się również zastosowanie odpowiedniej poprawki, ponieważ dotyczy ona gałęzi 6.1, 6.6 i nowszych, począwszy od wersji 6.10. Jednak nie zawsze możliwe jest natychmiastowe ponowne uruchomienie węzłów; dlatego zaleca się wdrożenie mechanizmów kompensujących.
W przypadku luki CVE-2026-53266 moduł ebtables można wyłączyć za pomocą skryptu, który usuwa moduł rezydentny, a następnie blokuje jego przyszłe ładowanie w pliku /etc/modprobe.d/. W przypadku pozostałych dwóch luk, użycie eBPF z Falco pozwala na wczesne wykrywanie prób wykorzystania luk, a polityki seccomp blokują powiązane wywołania systemowe. Dodatkowo, włączenie przestrzeni nazw użytkowników w containerd v2.2+ i Kubernetes CRI v1.30 z użyciem parametru hostUsers: false zmniejsza wpływ eskalacji uprawnień. Te środki, wraz z ciągłym monitorowaniem węzłów, pozwalają zaoszczędzić czas do momentu wykonania restartu z poprawionym kernelem.
Na koniec należy pamiętać, że sztuczna inteligencja pomaga również w usuwaniu przestarzałego kodu i starszych podsystemów, co może zmniejszyć powierzchnię ataku w dłuższej perspektywie. Chociaż obecna sytuacja jest chaotyczna, ekosystem jądra dostosowuje się. Administratorzy powinni być na bieżąco, subskrybować listy obserwacyjne bezpieczeństwa i priorytetyzować luki w zabezpieczeniach wymienione w oficjalnych katalogach, takich jak KEV. Elastyczność w zakresie łatania błędów i dogłębne wykorzystanie zabezpieczeń są teraz bardziej niż kiedykolwiek niezbędne do ochrony środowisk produkcyjnych opartych na systemie Linux.
