• CNews FORUM 12 ноября
• CNews AWARDS 12 ноября
• Школа Роста
• КИИ в облаке
• 10 лет российского бэкапа
• SDN: Сеть как дом
• История облаков
• 30 лет ERP России
• Цифровизация
• Импортозамещение
• Безопасность
• ИТ в госсекторе
• ИТ в банках
• ИТ в торговле
• Телеком
• ИТ-бизнес
• Рейтинги

23 Октября 2026 14:47 23 Окт 2026 14:47 |

В открытом доступе появилась информация о множестве уязвимостей в ядре Linux, требующих устранения. Как пишет портал Neowin, утечку спровоцировали сами разработчики – участники международной программы Zero Day Initiative (ZDI) направленной на поиск и устранение «дыр» в программном обеспечении. Инициатива принадлежит ИБ-компании Trend Micro.

Они допустили оплошность, от которой не застрахован никто – список уязвимостей должен был быть отправлен по электронный почте на специальный защищенный адрес, но вместо этого его встроили в в публичную рассылку LKML (Linux Kernel Mailing List). Таким образом, данные об уязвимостях моментально стали достоянием общественности, в том числе, вероятно, и киберпреступников.

Эта утечка моментально разозлила руководство сообщества Linux. Заместитель Линуса Торвальдса (Linus Torvalds) Грег Кроа-Хартман (Gregk Kroah-Hartman) был в ярости. Он потребовал, чтобы авторы письма потрудились исправить свои процессы отправки отчетов и впредь не рассылать отчеты о неустраненных уязвимостях на публичные адреса. Обычные участники сообщества Linux тоже не были в восторге от случившегося, пишет Neowin.

Утечка содержит данные как минимум о полудюжине уязвимостей, каждая из которых имеет критический уровень опасности – CVSS 9.0 и выше. Самые опасные уязвимости из этого списка найдены в модуле KSMBD (Kernel-based SMB3 Server), встроенном в ядро SMB-сервере. Среди них – ZDI-CAN-33774, и она позволяет удаленно запускать любой код на компьютере жертвы.

Следующая уязвимость, ZDI-CAN-33549, связана с возможностью удаленного выполнения кода через SMB Direct из-за переполнения целочисленного типа. Для этой уязвимости существует патч в ветке Git, предназначенной для Linux версии 7.5, но, предположительно, его внедрение в основную ветку будет ускорено.

Третья брешь – ZDI-CAN-33367, это уязвимость в сетевом коде функции skbuff skb_zerocopy, которая может привести к локальному повышению прав доступа. Четвертая получила индекс ZDI-CAN-34068, и это ошибка в графическом драйвере VMware VMWGFX, приводящая к локальному повышению прав доступа.

Оставшиеся две уязвимости – это ZDI-CAN-34076 и ZDI-CAN-32005. Рейтинг CVE пока не присвоен ни одной из них – по правилам сообщества Linux, этот идентификатор любая брешь получает только после того, как устраняющий ее патч добавляется в стабильную версию ядра.

Как пишет портал HWBusters, появление в Сети информации о незакрытых уязвимостях, пусть и допущенное по ошибке – это полное несоответствие установленным правилам. Данные об уязвимостях в ядре Linux действительно попадают в свободный доступ, но лишь после того, как они были устранены.

Обратный билет из облака. Когда собственный контур лучше облака и сколько он стоит Цифровизация

На первом этапе выявивший брешь специалист готовит и отправляет отчет команде, занимающейся вопросами безопасности ядра. Они со своей стороны устраняют найденную брешь в тестовой сборке, проводят все необходимые проверки, а затем готовят патч для стабильного релиза ядра.

И лишь после того, как патч был принят, а релиз состоялся, информация об уязвимости может быть опубликована в открытом доступе. Ее уже исправили, и пользователям нужно убедиться лишь, что они работают с ядром последней версии.

По данным портала HWBusters, в первую очередь стоит беспокоиться не обычным пользователям, работающим в Linux на своем ПК или ноутбуке, поскольку в большинстве дистрибутивов Linux компонент KSMBD не установлен по умолчанию. К тому же рабочие станции и игровые ПК не обмениваются файлами по SMB через ядро, отмечает HWBusters.

В зоне риска находятся NAS-серверы, домашние серверы и устройства, выбравшие KSMBD из-за его скорости, и любые из них, у которых порт 445 доступен из недоверенной сети, следует рассматривать как уязвимые до тех пор, пока не будет выпущено исправленное ядро. Очевидным временным решением является выгрузка модуля или блокировка SMB через брандмауэр.

Геннадий Ефремов