Kernel Linux: CVE-2026-46300 exploatată, scriere în page cache

Pe 28 octombrie 2026, CISA a adăugat CVE-2026-46300 în catalogul Known Exploited Vulnerabilities (KEV), cu denumirea „Linux Kernel Missing Initialization of a Variable Vulnerability”. Prin includerea în KEV, vulnerabilitatea din kernelul Linux este considerată exploatată în atacuri reale. Termenul pentru agențiile federale americane este foarte apropiat: 31 octombrie 2026.

CVE-ul nu este nou: fișa din baza de date NVD a fost publicată pe 23 mai 2026, cu vulnerabilitatea deja indicată drept corectată, și a fost actualizată pe 28 octombrie. Deocamdată NVD o indică drept încă în analiză.

Acest articol se bazează pe o singură sursă, fișa din catalogul KEV cu descrierea și datele publicate în baza de date NVD: informațiile care urmează sunt cele raportate acolo.

Ce s-a întâmplat

Defectul se află în stiva de rețea a kernelului, în codul care gestionează bufferele pachetelor (skbuff). Potrivit descrierii corecturii, funcția skb_try_coalesce() poate muta fragmentele de date ale unui pachet într-altul, pentru a le uni. Dacă pachetul de pornire are indicatorul SKBFL_SHARED_FRAG, care semnalează fragmente partajate, pachetul rezultat poate conține aceleași fragmente, deținute extern sau susținute de page cache (memoria cache a fișierelor din kernel), dar indicatorul se pierde.

Alte părți ale kernelului se bazează pe acest indicator înainte de a scrie direct peste date. Descrierea menționează în special recepția ESP (protocolul de criptare din IPsec): înainte de a decide dacă poate evita copierea datelor cu skb_cow_data(), verifică skb_has_shared_frag(). Dacă unirea pachetelor la recepția TCP a mutat fragmente partajate într-un pachet fără indicator, verificarea dă rezultat negativ, iar ESP poate decripta pe loc, peste fragmente susținute de page cache.

Denumirea folosită în catalogul KEV corespunde slăbiciunii CWE-456 (lipsa inițializării unei variabile); descrierea tehnică vorbește despre un indicator care se pierde la unirea pachetelor.

Detalii tehnice

• CVE: CVE-2026-46300.
• Produs: kernel Linux, stiva de rețea (net: skbuff).
• Slăbiciuni: CWE-787 (scriere în afara limitelor), CWE-456 (lipsa inițializării unei variabile), CWE-123 (condiție write-what-where).
• Scor CVSS 3.1: 7.8 (ridicat), cu vectorul AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H: atac local, complexitate scăzută, privilegii scăzute, fără interacțiunea utilizatorului, impact ridicat asupra confidențialității, integrității și disponibilității. Fișa NVD conține două evaluări identice, una dintre ele a NVD.
• Corectură: patch-ul propagă indicatorul SKBFL_SHARED_FRAG atunci când skb_try_coalesce() transferă fragmente. Copierea în spațiul liber de la coada pachetului nu are nevoie de el, pentru că copiază octeții în loc să transfere referințele la fragmente. Fișa NVD enumeră opt commit-uri de corectare în ramurile stabile ale kernelului și mesaje pe lista oss-security din 13 și 21 mai 2026.
• Exploatare: confirmată de CISA prin includerea în catalogul KEV. Potrivit CISA, utilizarea în campanii ransomware nu este cunoscută deocamdată.
• Lanțul de atac și indicatori: sursa nu descrie cum a fost exploatată vulnerabilitatea și nu indică tehnici MITRE ATT&CK sau indicatori de compromitere.

Versiuni afectate

Potrivit datelor NVD, sunt afectate aceste versiuni ale kernelului:

• de la 3.9 până la 5.10.257 inclusiv;
• de la 5.11 până înainte de 5.15.208;
• de la 5.16 până înainte de 6.1.174;
• de la 6.2 până înainte de 6.6.141;
• de la 6.7 până înainte de 6.12.91;
• de la 6.13 până înainte de 6.18.33;
• de la 6.19 până înainte de 7.0.10;
• 7.1.

Versiunile indicate ca limită exclusă (de exemplu 6.12.91 sau 7.0.10) nu figurează ca afectate. Pentru ramura 5.10, sursa nu indică prima versiune corectată. Printre referințele fișei se află și numeroase buletine Red Hat (RHSA și RHBA); pentru celelalte distribuții contează pachetul de kernel publicat de fiecare, care poate avea un număr de versiune diferit de cel al kernelului oficial.

Impactul pentru companiile europene și italiene

Kernelul Linux este peste tot: servere fizice și virtuale, gazde de virtualizare și de containere, echipamente de rețea și de securitate, sisteme embedded. Vectorul CVSS indică un atac local cu privilegii scăzute: cine are deja un cont sau un proces pe mașină, de exemplu printr-un serviciu compromis sau un utilizator fără privilegii, poate ajunge la un impact ridicat asupra confidențialității, integrității și disponibilității. De aceea, cele mai expuse sunt sistemele folosite de mai mulți utilizatori sau care rulează cod nesigur.

Pentru entitățile care intră sub incidența NIS2, actualizarea face parte din gestionarea vulnerabilităților cerută de directivă, iar o compromitere trebuie evaluată în vederea notificării către CSIRT-ul național, care în Italia este CSIRT Italia din cadrul ACN. Același lucru este valabil pentru unitățile sanitare, care au adesea servere și echipamente Linux în spatele aplicațiilor clinice.

Ce să faci imediat

1. Inventar: identifică sistemele Linux și versiunea de kernel care rulează, inclusiv echipamentele și dispozitivele furnizorilor, și compar-o cu intervalele de mai sus.
2. Actualizează: instalează kernelul cu corectura publicat de distribuția ta sau de furnizorul echipamentului (caută CVE-2026-46300 în buletinele lor) și repornește: până când sistemul nu încarcă noul kernel, vulnerabilitatea rămâne. CISA cere aplicarea măsurilor de atenuare ale producătorului sau, dacă acestea nu sunt disponibile, încetarea utilizării produsului.
3. Acordă prioritate sistemelor cu mulți utilizatori sau cu cod nesigur: servere partajate, gazde de containere, runner-e CI, mașini de dezvoltare, precum și celor care folosesc IPsec, calea menționată în descriere.
4. Întreabă furnizorii de echipamente bazate pe Linux dacă și când includ corectura. Sursa nu indică soluții temporare.
5. Caută semne de compromitere: CISA trimite la cerințele sale de triaj criminalistic. Verifică conturi și procese neașteptate, modificări ale fișierelor de sistem și blocări ale kernelului pe sistemele care au rămas mult timp fără actualizări.

Cum ajută ARXDOME

ARX Sentry colectează loguri, evenimente și inventarul serverelor pe care este instalat agentul: te ajută să găsești sistemele Linux și versiunile lor de kernel. ARX Shield arată vulnerabilitățile deschise pe mașină și pe pachet și le scoate în evidență pe cele deja exploatate, astfel încât să poți urmări actualizarea sistem cu sistem. Cu ARX Horizon poți consulta din portal detaliile vulnerabilităților.

Ultima actualizare: 28 octombrie 2026