Det amerikanske byrået for cybersikkerhet og infrastruktursikkerhet (CISA) har annonsert at tre sårbarheter i Linux-kjernen aktivt utnyttes i virkelige miljøer. 18. september ble disse feilene lagt til i katalogen over kjente utnyttede sårbarheter (KEV), noe som utløste et 72-timers vindu for føderale etater til å implementere de tilsvarende rettelsene, i henhold til direktiv BOD 26-04. Men dette er ikke bare et problem for offentlig sektor: enhver organisasjon som kjører Linux i produksjon, fra servere til renderingsfarmer, bør legge merke til dette umiddelbart.
I mellomtiden endrer kunstig intelligens fullstendig sikkerhetslandskapet for åpen kildekode. På den ene siden har verktøy som GLM-5.3 avdekket over tusen nye sårbarheter i kritiske prosjekter, inkludert Linux-kjernen. På den andre siden overvelder denne skredet av funn vedlikeholdere, som knapt har tid til å gjennomgå rapporter og oppdateringer, hvorav mange er trivielle eller duplikater. Denne situasjonen har ført til at Linus Torvalds selv har uttrykt sin frustrasjon og iverksatt strengere tiltak for fremtidige integrasjoner.
De tre sårbarhetene som angår CISA
CVE-ene som er identifisert er CVE-2025-39682, CVE-2025-39964 og CVE-2026-53266. Den første, med en CVSS-poengsum fra 7.1 ifølge NVD til 9.8 ifølge SecurityWeek, ligger i programvareimplementeringen av TLS (net/tls/tls_sw.c). Den utløses når en angriper behandler en TLS-post med null lengde i nullkopimodus, noe som ødelegger bufferens referanseteller og resulterer i en use-after-free-hendelse. Dette kan forårsake alt fra kjernekrasj til lekkasje av sensitiv informasjon. Det påvirker versjon 6.0 til og med 6.16.3 og utgivelseskandidatene 6.17-rc1/rc2.
Den andre sårbarheten, CVE-2025-39964, ligger i AF_ALG-grensesnittet til brukerområdets kryptografi-API. Det er en kappløpstilstand som tillater to samtidige forfattere å flette inn data på samme socket, noe som gjør den interne tilstanden inkonsekvent. Selv om CVSS-poengsummen varierer mellom 3.3 (NVD), 5.5 (Red Hat) og 7.8 (CNA), bekrefter inkluderingen i KEV-katalogen at utnyttelsen er reell og farlig. Til slutt påvirker CVE-2026-53266 ebt_snat-målet til netfilter-broen, og tillater skriving utenfor grensene til kjerneminnet når en ARP-pakke behandles på en ikke-lineær socketbuffer. Med en CVSS-poengsum på 8.8 er det en klar vektor for lokal rettighetseskalering.
AI overvelder kjernevedlikeholdere
Økningen i rapporterte sårbarheter er ingen tilfeldighet. Ifølge data presentert av Greg Kroah-Hartman på Kernel Recipes 2026-konferansen, har antallet CVE-er som er oppdatert per kjerneversjon økt fra rundt 500 i versjon 6.9 til 6.19 til over 1.000 fra og med Linux 7.0, og mer enn 1.500 i Linux 7.2. Prognoser tyder på at Linux 7.3 kan overstige 2.000. Mye av denne økningen tilskrives bruken av kunstig intelligens for kodegjennomgang . Imidlertid er de fleste funnene lavprioriterte eller gjelder eldre drivere, og mange er duplikater.
Arbeidsmengden for vedlikeholdere har blitt uholdbar. Linus Torvalds hadde allerede advart om at kjernens liste over sikkerhetsoppdateringer hadde blitt «nesten fullstendig uhåndterlig». Jakub Kicinski, ansvarlig for nettverksundersystemet, uttalte til og med: «Vi er fullstendig overveldet.» Videre har Torvalds klaget over at mange oppdateringer kommer i avanserte utviklingsstadier, som Linux 7.1 RC5-utgivelsen, når de burde ha blitt foreslått tidligere. Han har lovet å være mer ufleksibel og vil avvise pull-forespørsler som ikke tilbyr reell verdi. Denne situasjonen påvirker ikke bare stabiliteten, men kan også kompromittere sikkerheten, ettersom de riktige oppdateringene kan gå seg vill i støyen.
Anbefalinger og avbøtende tiltak for administratorer
Stilt overfor denne bølgen av sårbarheter må systemadministratorer handle raskt og ikke utelukkende stole på offisielle oppdateringer. For de tre CISA CVE-ene er prioriteten å oppdatere kjernen til en oppdatert versjon av distribusjonen som brukes. Når det gjelder det nylig identifiserte af_unix-sårbarheten (CVE-2026-80521), anbefales det også å installere den tilsvarende oppdateringen, ettersom den påvirker grenene 6.1, 6.6 og senere, fra og med 6.10. Det er imidlertid ikke alltid mulig å starte nodene på nytt umiddelbart; derfor anbefales det å implementere kompenserende kontroller.
For CVE-2026-53266 kan ebtables-modulen deaktiveres ved hjelp av et skript som fjerner den residente modulen og deretter blokkerer fremtidig lasting i /etc/modprobe.d/. For de to andre sårbarhetene kan bruk av eBPF med Falco oppdage utnyttelsesforsøk tidlig, og seccomp-policyer kan blokkere de involverte systemkallene. I tillegg reduserer aktivering av brukernavnerom med containerd v2.2+ og Kubernetes CRI v1.30, ved bruk av hostUsers: false, effekten av rettighetseskalering. Disse tiltakene, sammen med kontinuerlig nodeovervåking, kjøper tid til en omstart med en oppdatert kjerne kan utføres.
Til slutt er det viktig å huske at AI også bidrar til å rydde opp i foreldet kode og fjerne eldre delsystemer, noe som kan redusere angrepsflaten på lang sikt. Selv om den nåværende situasjonen er kaotisk, tilpasser kjerneøkosystemet seg. Administratorer bør holde seg informert, abonnere på sikkerhetsovervåkningslister og prioritere sårbarheter som er oppført i offisielle kataloger som KEV. Smidighet i oppdateringer og bruk av dyptgående forsvar er nå mer enn noen gang avgjørende for å beskytte Linux-baserte produksjonsmiljøer.
