Kernel Linux: CVE-2026-46300 sfruttata, scrittura in page cache

Il 28 ottobre 2026 la CISA ha inserito la CVE-2026-46300 nel catalogo Known Exploited Vulnerabilities (KEV), con il nome «Linux Kernel Missing Initialization of a Variable Vulnerability». Con l’inserimento nel KEV la vulnerabilità del kernel Linux risulta sfruttata in attacchi reali. Per le agenzie federali statunitensi la scadenza per intervenire è molto vicina: il 31 ottobre 2026.

La CVE non è nuova: la scheda nel database NVD è stata pubblicata il 23 maggio 2026, con la vulnerabilità già indicata come corretta, ed è stata aggiornata il 28 ottobre. Al momento NVD la indica come ancora in analisi.

Questo articolo si basa su una sola fonte, la scheda del catalogo KEV con la descrizione e i dati pubblicati nel database NVD: le informazioni che seguono sono quelle riportate lì.

Cosa è successo

Il difetto è nello stack di rete del kernel, nel codice che gestisce i buffer dei pacchetti (skbuff). Secondo la descrizione della correzione, la funzione skb_try_coalesce() può spostare i frammenti di dati di un pacchetto in un altro, per unirli. Se il pacchetto di partenza ha l’indicatore SKBFL_SHARED_FRAG, che segnala frammenti condivisi, il pacchetto risultante può contenere gli stessi frammenti, di proprietà esterna o appoggiati sulla page cache (la cache dei file del kernel), ma l’indicatore va perso.

Altre parti del kernel contano su quell’indicatore prima di scrivere direttamente sui dati. La descrizione cita in particolare la ricezione ESP (il protocollo di cifratura di IPsec): prima di decidere se può evitare di copiare i dati con skb_cow_data(), controlla skb_has_shared_frag(). Se l’unione dei pacchetti in ricezione TCP ha spostato frammenti condivisi in un pacchetto senza indicatore, il controllo risulta negativo ed ESP può decifrare sul posto, sopra frammenti appoggiati sulla page cache.

Il nome usato nel catalogo KEV corrisponde alla debolezza CWE-456 (inizializzazione mancante di una variabile); la descrizione tecnica parla di un indicatore che si perde durante l’unione dei pacchetti.

Dettagli tecnici

• CVE: CVE-2026-46300.
• Prodotto: kernel Linux, stack di rete (net: skbuff).
• Debolezze: CWE-787 (scrittura fuori dai limiti), CWE-456 (inizializzazione mancante di una variabile), CWE-123 (condizione write-what-where).
• Punteggio CVSS 3.1: 7.8 (alto), con il vettore AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H: attacco locale, bassa complessità, privilegi bassi, nessuna interazione dell’utente, impatto alto su riservatezza, integrità e disponibilità. La scheda NVD riporta due valutazioni identiche, una delle quali di NVD.
• Correzione: la patch propaga l’indicatore SKBFL_SHARED_FRAG quando skb_try_coalesce() trasferisce frammenti. La copia nello spazio libero in coda al pacchetto non ne ha bisogno, perché copia i byte invece di trasferire i riferimenti ai frammenti. La scheda NVD elenca otto commit di correzione nei rami stabili del kernel e messaggi sulla lista oss-security del 13 e del 21 maggio 2026.
• Sfruttamento: confermato dalla CISA con l’inserimento nel catalogo KEV. L’uso in campagne ransomware, per la CISA, al momento non è noto.
• Catena di attacco e indicatori: la fonte non descrive come la vulnerabilità sia stata sfruttata, non indica tecniche MITRE ATT&CK né indicatori di compromissione.

Versioni colpite

Secondo i dati NVD sono colpite queste versioni del kernel:

• dalla 3.9 fino alla 5.10.257 compresa;
• dalla 5.11 a prima della 5.15.208;
• dalla 5.16 a prima della 6.1.174;
• dalla 6.2 a prima della 6.6.141;
• dalla 6.7 a prima della 6.12.91;
• dalla 6.13 a prima della 6.18.33;
• dalla 6.19 a prima della 7.0.10;
• la 7.1.

Le versioni indicate come limite escluso (ad esempio 6.12.91 o 7.0.10) non risultano colpite. Per il ramo 5.10 la fonte non indica la prima versione corretta. Tra i riferimenti della scheda ci sono anche numerosi bollettini di Red Hat (RHSA e RHBA); per le altre distribuzioni conta il pacchetto del kernel pubblicato da ciascuna, che può avere un numero di versione diverso da quello del kernel ufficiale.

Impatto per le aziende europee e italiane

Il kernel Linux è ovunque: server fisici e virtuali, host di virtualizzazione e di container, appliance di rete e di sicurezza, sistemi embedded. Il vettore CVSS indica un attacco locale con privilegi bassi: chi ha già un account o un processo sulla macchina, ad esempio tramite un servizio compromesso o un utente non privilegiato, può arrivare a impatti alti su riservatezza, integrità e disponibilità. Sono quindi più esposti i sistemi condivisi da più utenti o che eseguono codice non fidato.

Per i soggetti che rientrano nella NIS2 l’aggiornamento rientra nella gestione delle vulnerabilità richiesta dalla direttiva, e una compromissione va valutata per la notifica al CSIRT nazionale, che in Italia è lo CSIRT Italia dell’ACN. Lo stesso vale per le strutture sanitarie, che spesso hanno server e apparati Linux dietro le applicazioni cliniche.

Cosa fare subito

1. Inventario: individua i sistemi Linux e la versione del kernel in esecuzione, compresi appliance e dispositivi dei fornitori, e confrontala con gli intervalli indicati.
2. Aggiorna: installa il kernel con la correzione pubblicato dalla tua distribuzione o dal fornitore dell’appliance (cerca CVE-2026-46300 nei loro bollettini) e riavvia: finché il sistema non carica il nuovo kernel, la vulnerabilità resta. La CISA chiede di applicare le mitigazioni del produttore o, se non sono disponibili, di smettere di usare il prodotto.
3. Dai la priorità ai sistemi con più utenti o con codice non fidato: server condivisi, host di container, runner CI, macchine di sviluppo, e a quelli che usano IPsec, il percorso citato nella descrizione.
4. Chiedi ai fornitori di appliance basate su Linux se e quando includono la correzione. La fonte non indica soluzioni temporanee.
5. Cerca segni di compromissione: la CISA richiama i propri requisiti di triage forense. Controlla account e processi inattesi, modifiche a file di sistema e crash del kernel sui sistemi che sono rimasti a lungo senza aggiornamento.

Come aiuta ARXDOME

ARX Sentry raccoglie log, eventi e inventario dei server su cui è installato l’agent: aiuta a trovare i sistemi Linux e le versioni del kernel. ARX Shield mostra le vulnerabilità aperte per macchina e per pacchetto e mette in evidenza quelle già sfruttate, così puoi seguire l’aggiornamento sistema per sistema. Con ARX Horizon puoi consultare dal portale i dettagli delle vulnerabilità.

Ultimo aggiornamento: 28 ottobre 2026