Americká Agentura pro kybernetickou bezpečnost a bezpečnost infrastruktury (CISA) oznámila, že v reálných prostředích jsou aktivně zneužívány tři zranitelnosti linuxového jádra. Dne 18. září byly tyto chyby přidány do katalogu známých zneužitých zranitelností (KEV), čímž se federálním agenturám spustila 72hodinová lhůta na implementaci odpovídajících oprav, jak stanoví směrnice BOD 26-04. Není to však problém jen pro veřejný sektor: každá organizace provozující Linux v produkčním prostředí, od serverů až po renderovací farmy, by si toho měla okamžitě všimnout.
Mezitím umělá inteligence kompletně mění bezpečnostní krajinu open-source softwaru. Na jedné straně nástroje jako GLM-5.3 odhalily přes tisíc nových zranitelností v kritických projektech, včetně linuxového jádra. Na druhou stranu tato lavina zjištění zahlcuje správce, kteří sotva mají čas procházet zprávy a záplaty, z nichž mnohé jsou triviální nebo duplicitní. Tato situace vedla samotného Linuse Torvaldse k vyjádření frustrace a zavedení přísnějších opatření pro budoucí integrace.
Tři zranitelnosti, které se týkají CISA
Identifikované CVE jsou CVE-2025-39682, CVE-2025-39964 a CVE-2026-53266. První z nich, se skóre CVSS v rozmezí od 7.1 podle NVD do 9.8 podle SecurityWeek, spočívá v softwarové implementaci TLS (net/tls/tls_sw.c). Spustí se, když útočník zpracuje záznam TLS s nulovou délkou v režimu nulové kopie, čímž poškodí čítač referencí vyrovnávací paměti a vede k události „use-after-free“. To může způsobit cokoli od pádu jádra až po únik citlivých informací. Ovlivňuje verze 6.0 až 6.16.3 a kandidáty na vydání 6.17-rc1/rc2.
Druhá zranitelnost, CVE-2025-39964, se nachází v rozhraní AF_ALG uživatelského kryptografického API. Jedná se o stav závodu, který umožňuje dvěma souběžným zapisovačům prokládat data na stejném socketu, což vede k nekonzistentnímu vnitřnímu stavu. Ačkoli se její skóre CVSS pohybuje mezi 3.3 (NVD), 5.5 (Red Hat) a 7.8 (CNA), její zařazení do katalogu KEV potvrzuje, že zneužití je skutečné a nebezpečné. A konečně, CVE-2026-53266 ovlivňuje cíl ebt_snat mostu netfilter a umožňuje zápis mimo hranice do paměti jádra při zpracování ARP paketu na nelineárním bufferu socketu. Se skóre CVSS 8.8 je to jasný vektor pro lokální eskalaci oprávnění.
Umělá inteligence zahlcuje správce jádra
Nárůst hlášených zranitelností není náhoda. Podle údajů, které Greg Kroah-Hartman prezentoval na konferenci Kernel Recipes 2026, se počet opravených CVE na verzi jádra zvýšil z přibližně 500 ve verzích 6.9 až 6.19 na více než 1 000 počínaje Linuxem 7.0 a na více než 1 500 v Linuxu 7.2. Předpovědi naznačují, že v Linuxu 7.3 by mohlo být toto číslo překročeno a překročeno 2 000. Velká část tohoto nárůstu se připisuje použití umělé inteligence pro audit kódu . Většina zjištění má však nízkou prioritu nebo se týká starších ovladačů a mnoho z nich je duplikátů.
Zátěž správců se stala neudržitelnou. Linus Torvalds již dříve varoval, že seznam bezpečnostních záplat jádra se stal „téměř zcela nezvládnutelným“. Jakub Kicinski, zodpovědný za síťový subsystém, dokonce prohlásil: „Jsme naprosto zahlceni.“ Torvalds si dále stěžoval, že mnoho oprav se dostává do pokročilých fází vývoje, jako je například verze Linuxu 7.1 RC5, ačkoli měly být navrženy dříve. Slíbil, že bude nepružnější a bude odmítat žádosti o změny (pull requesty), které nenabízejí skutečnou hodnotu. Tato situace nejen ovlivňuje stabilitu, ale může také ohrozit bezpečnost, protože správné záplaty se mohou v davu ztratit.
Doporučení a zmírňující opatření pro administrátory
Tváří v tvář této vlně zranitelností musí systémoví administrátoři jednat rychle a nespoléhat se pouze na oficiální záplaty. U tří zranitelností CISA CVE je prioritou aktualizace jádra na opravenou verzi používané distribuce. V případě nedávno identifikované zranitelnosti af_unix (CVE-2026-80521) je také vhodné nainstalovat odpovídající záplatu, protože se týká větví 6.1, 6.6 a novějších, počínaje verzí 6.10. Není však vždy možné uzly okamžitě restartovat, proto se doporučuje implementace kompenzačních opatření.
V případě chyby CVE-2026-53266 lze modul ebtables zakázat pomocí skriptu, který uvolní rezidentní modul a poté zablokuje jeho budoucí načítání v souboru /etc/modprobe.d/. U dalších dvou zranitelností může použití eBPF s Falco včas odhalit pokusy o zneužití a zásady seccomp mohou blokovat zapojená systémová volání. Povolení uživatelských jmenných prostorů s containerdem v2.2+ a Kubernetes CRI v1.30 pomocí hostUsers: false navíc snižuje dopad eskalace oprávnění. Tato opatření spolu s průběžným monitorováním uzlů kupují čas do restartování s opraveným jádrem.
Konečně je důležité si uvědomit, že umělá inteligence také pomáhá čistit zastaralý kód a odstraňovat starší subsystémy, což může z dlouhodobého hlediska snížit plochu pro útok. Přestože je současná situace chaotická, ekosystém jádra se přizpůsobuje. Administrátoři by měli zůstat informovaní, přihlásit se k odběru seznamů sledovaných bezpečnostních rizik a upřednostňovat zranitelnosti uvedené v oficiálních katalozích, jako je KEV. Flexibilita při opravách a používání hloubkové obrany jsou nyní více než kdy jindy nezbytné pro ochranu produkčních prostředí založených na Linuxu.
