Коротко о главном
22 октября 2026 года профильные издания обратили внимание на нештатную ситуацию в разработке ядра Linux. Trend Micro Zero Day Initiative (ZDI) отправила несколько отчётов о неисправленных уязвимостях ядра в публичную рассылку LKML (Linux Kernel Mailing List) вместо приватного адреса безопасности ядра.
Что важно знать:
- Речь идёт как минимум о шести отчётах, часть из которых касается уязвимостей с оценкой CVSS 9.0.
- Две наиболее серьёзные уязвимости находятся в KSMBD встроенном в ядро SMB-сервере. Одна из них (ZDI-CAN-33774) не требует аутентификации и потенциально позволяет удалённое выполнение кода.
- На момент публикации патчей в mainline нет. Для некоторых уязвимостей исправления находятся в тестовых ветках или в
-next. - CVE-идентификаторы пока не присвоены: ядро Linux присваивает их только после появления исправления в стабильной ветке.
- Массовые десктопные дистрибутивы, как правило, не загружают модуль KSMBD. Основной риск для NAS, домашних серверов и устройств, которые используют KSMBD для файлообмена по SMB.
Главный вопрос: насколько это опасно на практике и что делать администраторам, пока патчи не вышли.
Что именно произошло
ZDI подразделение Trend Micro, которое покупает и координирует раскрытие уязвимостей. Обычный процесс выглядит так: исследователь сообщает об уязвимости в приватный канал, разработчики готовят патч, и только после этого детали становятся публичными.
В этот раз ZDI отправила отчёты в публичную рассылку LKML, куда может писать и которую может читать кто угодно. Грег Кроа-Хартман, отвечающий за стабильные ветки ядра, публично отреагировал на каждый из отчётов. В ответе на один из них он написал: «И снова: нет патча и публичный список?»
Причина ошибки. The Hacker News связывает это с обновлённой в мае 2026 года документацией по безопасности ядра. Согласно ей, ошибки, найденные инструментами ИИ, по определению уже публичны и должны отправляться в публичные списки разработчиков подсистем. ZDI, судя по всему, действовала по этой логике и продублировала публичные списки вместе с приватным адресом, но не приложила патчи ни к одному из отчётов. При этом в отчётах указано, что находки сделаны сканером TrendAI ИИ-инструментом Trend Micro.
Какие уязвимости раскрыты
Список раскрытых отчётов охватывает несколько подсистем ядра. Две уязвимости в KSMBD имеют максимальную оценку CVSS 9.0.
| Идентификатор | Компонент | Тип | Влияние |
|---|---|---|---|
| ZDI-CAN-33549 | KSMBD, SMB Direct | Целочисленное переполнение (integer underflow) | RCE, CVSS 9.0 |
| ZDI-CAN-33774 | KSMBD | Состояние гонки (race condition) | RCE, CVSS 9.0, без аутентификации |
| ZDI-CAN-33367 | Сетевой стек, skb_zerocopy | Не указано | Локальное повышение привилегий |
| ZDI-CAN-34068 | VMWGFX (драйвер VMware) | Запись за границы буфера (out-of-bounds write) | Локальное повышение привилегий |
| ZDI-CAN-34076 | NVMe Target (NVMET) | Неинициализированный ресурс | Раскрытие информации |
| ZDI-CAN-32005 | Обработка TCP-запросов | Переполнение буфера в стеке (stack buffer overflow) | Локальное повышение привилегий |
KSMBD: две RCE с CVSS 9.0
KSMBD это SMB3-сервер, который живёт внутри ядра Linux. Он не имеет отношения к Samba. Большинство десктопных дистрибутивов его не загружают.
ZDI-CAN-33774 состояние гонки в назначении таблицы обработчиков KSMBD. Атакующему достаточно отправить серию коротких SMB1-пакетов, а затем SMB2-пакет в том же TCP-сегменте. Worker-процессы начинают обрабатывать данные SMB1 обработчиком SMB2 и читают за границей короткого буфера. Аутентификация не требуется. Уязвим любой сервер, слушающий порт 445 с загруженным KSMBD.
ZDI-CAN-33549 целочисленное переполнение в пути SMB Direct. Клиент может передать RDMA-дескрипторы буфера, в которых первый дескриптор длиннее объявленной полезной нагрузки. Счётчик размера на сервере «перекручивается», и последующее копирование памяти выходит за границы выделенного буфера.
Условия для эксплуатации ZDI-CAN-33549 сложнее, чем для ZDI-CAN-33774:
-
RDMA-совместимый интерфейс (аппаратный или программный драйвер
rxe). - Доступная для записи шара KSMBD.
- Клиент, согласующий SMB Direct.
Для ZDI-CAN-33774 достаточно открытого порта 445 и загруженного KSMBD.
Остальные уязвимости
ZDI-CAN-33367 (skb_zerocopy) локальное повышение привилегий. Разработчики ядра уже получали отчёт об этой проблеме из другого источника на прошлой неделе, патч ожидается в ближайшее время.
ZDI-CAN-34068 (VMWGFX) запись за границы буфера в драйвере виртуальной графики VMware. Актуально только для гостевых систем VMware.
ZDI-CAN-34076 (NVMET) неинициализированный ресурс в коде цели NVMe. Раскрытие информации. Актуально только для систем, экспортирующих хранилище через NVMe-oF.
ZDI-CAN-32005 переполнение буфера в стеке при обработке поисковых TCP-запросов. Локальное повышение привилегий.
Насколько это опасно на практике
CVSS 9.0 выглядит тревожно, но реальная экспозиция уже, чем оценка.
Кто в зоне риска:
- NAS-устройства и домашние серверы, которые используют KSMBD для файлообмена по SMB.
- Любая система с KSMBD и портом 445, доступным из недоверенной сети. Такие машины стоит считать уязвимыми, пока не выйдет исправленное ядро.
Кого это, скорее всего, не касается:
- Большинство десктопных Linux-систем: KSMBD по умолчанию не загружен.
- Red Hat Enterprise Linux: KSMBD в него не входит по умолчанию.
- Рабочие станции и игровые ПК, которые не раздают файлы через SMB из ядра.
Прочие уязвимости (VMWGFX, NVMET, локальные повышения привилегий) требуют либо наличия гостевой среды VMware, либо уже существующего доступа к системе. Для одиночного ПК риск ниже, для общих серверов выше.
Важное ограничение: CVE-идентификаторы пока не присвоены. Ядро Linux присваивает их только после того, как исправление появляется в стабильной ветке. Это значит, что формально уязвимости ещё не имеют публичных CVE, но детали уже раскрыты.
Что делать администраторам
Патчей в mainline пока нет. Для ZDI-CAN-33549 исправление находится в ветке, предназначенной для Linux 7.5, и, вероятно, будет ускорено. Для ZDI-CAN-33367 патч ожидается в ближайшее время. Остальные исправления ещё в работе.
Временные меры до выхода патчей:
-
Проверьте, загружен ли KSMBD. Выполните
systemctl status ksmbdилиlsmod | grep ksmbd. Если модуль не загружен и не используется вы не подвержены двум самым критичным уязвимостям. -
Если KSMBD используется ограничьте доступ к порту 445. Настройте файрвол так, чтобы SMB был доступен только из доверенных сетей. Если возможно, временно выгрузите модуль (
modprobe -r ksmbd), пока не выйдет исправленное ядро. - Следите за обновлениями ядра. Подпишитесь на рассылку безопасности вашего дистрибутива или на страницу обновлений. Как только исправленное ядро появится в стабильной ветке и в репозиториях дистрибутива, установите его как можно скорее.
- Оцените VMWGFX и NVMET. Если вы используете гостевые системы VMware или экспортируете хранилище через NVMe-oF, следите за патчами отдельно.
- Для локальных повышений привилегий действует стандартное правило: минимизируйте число пользователей с доступом к системе, не давайте лишних прав и следите за подозрительной активностью.
Что это значит для процесса раскрытия уязвимостей
Инцидент поднимает вопрос о том, как ядро Linux обрабатывает отчёты, найденные с помощью ИИ.
Обновлённая в мае 2026 года документация по безопасности ядра фактически приравнивает находки ИИ-инструментов к уже публичной информации, потому что такие инструменты могут быть воспроизведены и использованы повторно. ZDI, судя по всему, действовала в рамках этой логики, но не приложила патчи, что и вызвало критику со стороны Грега Кроа-Хартмана и других разработчиков.
Практический вывод для администраторов: даже «приватные» отчёты, найденные ИИ, могут оказаться в публичном доступе раньше, чем появятся патчи. Это ещё один аргумент в пользу того, чтобы не откладывать обновления и следить за экспозицией сервисов вроде KSMBD, которые не всегда включены по умолчанию.
Часто задаваемые вопросы
Это уязвимости в моём десктопном Linux?
Скорее всего, нет. Две самые критичные уязвимости находятся в KSMBD, который большинство десктопных дистрибутивов не загружает. Проверьте lsmod | grep ksmbd, чтобы убедиться.
Что такое KSMBD и чем он отличается от Samba?
KSMBD это SMB3-сервер, который работает внутри ядра Linux. Samba отдельное пользовательское приложение. Это разные проекты с разным кодом. Уязвимости затронули именно KSMBD.
Мне нужен CVE, чтобы отслеживать эти уязвимости?
Пока CVE-идентификаторы не присвоены. Ядро Linux присваивает их только после появления исправления в стабильной ветке. Следите за обновлениями ядра в вашем дистрибутиве.
Патчи уже есть?
В mainline нет. Для ZDI-CAN-33549 исправление есть в ветке для Linux 7.5, для ZDI-CAN-33367 ожидается в ближайшее время. Остальные в работе.
Насколько опасны уязвимости с CVSS 9.0?
CVSS 9.0 означает критическую уязвимость, но реальная экспозиция зависит от конфигурации. Для ZDI-CAN-33774 достаточно открытого порта 445 с загруженным KSMBD. Если KSMBD не используется, риск минимален.
Что делать, если я не могу выгрузить KSMBD?
Ограничьте доступ к порту 445 через файрвол, разрешив подключения только из доверенных сетей. Это снизит риск эксплуатации до выхода патча.
Это связано с уязвимостями в KSMBD, о которых писали раньше?
В каком-то смысле да KSMBD уже привлекал внимание исследователей безопасности. Но это новые отчёты с новыми идентификаторами ZDI-CAN. CVE у них пока нет.
Что в итоге
Trend Micro ZDI случайно опубликовала в публичной рассылке LKML отчёты о шести неисправленных уязвимостях ядра Linux, включая две RCE с CVSS 9.0 в KSMBD. Патчей в mainline пока нет, но для некоторых уязвимостей исправления уже находятся в тестовых ветках.
Что делать:
-
Проверьте, загружен ли KSMBD (
lsmod | grep ksmbd). - Если используется ограничьте доступ к порту 445 или временно выгрузите модуль.
- Следите за обновлениями ядра в вашем дистрибутиве.
- Не откладывайте установку исправленного ядра, когда оно появится.
Массовые десктопные системы, скорее всего, не затронуты двумя самыми критичными уязвимостями. Но для NAS, домашних серверов и любых систем с доступным извне KSMBD это окно риска, которое стоит закрыть.
