In Breve
- Quali vulnerabilità sono state segnalate dalla CISA?
- La CISA ha segnalato tre vulnerabilità critiche nel kernel Linux: CVE-2025-39682, CVE-2026-53266 e CVE-2025-39964.
- Qual è il termine per applicare le patch?
- Il termine per applicare le patch scade il 21 settembre 2026.
- Quali misure di mitigazione sono disponibili?
- Si consiglia di impedire il caricamento del modulo TLS e disabilitare la riscrittura degli indirizzi hardware ARP.
La Cybersecurity and Infrastructure Security Agency (CISA) ha recentemente inserito tre vulnerabilità del kernel Linux nel suo catalogo delle vulnerabilità conosciute sfruttate (KEV), avvisando gli utenti della necessità di applicare patch entro il 21 settembre 2026. Queste vulnerabilità, classificate con punteggi di gravità elevata, rappresentano un serio rischio per la sicurezza dei sistemi operativi basati su Linux.
Le vulnerabilità identificate sono:
- CVE-2025-39682: punteggio di 9.8/10 (critica)
- CVE-2026-53266: punteggio di 8.8/10 (alta)
- CVE-2025-39964: punteggio di 7.8/10 (alta)
Tutte e tre le falle sono state corrette nelle rispettive versioni del kernel. In particolare:
- CVE-2025-39682 è stata risolta nelle versioni stabili 6.1.149, 6.6.103, 6.12.44 e 6.16.4;
- CVE-2025-39964 è stata corretta nelle versioni 5.10.245, 5.15.194, 6.1.154, 6.6.108, 6.12.49 e 6.16.9;
- CVE-2026-53266 è stata corretta upstream e backportata su rami stabili/distributivi, incluse le versioni 5.10.259, 6.1.176 e 6.12.94.
Le vulnerabilità presentano diverse modalità di attacco. La CVE-2025-39682 consente la divulgazione di memoria o un denial of service (DoS), mentre la CVE-2026-53266 permette una scrittura fuori dai limiti nell’implementazione ebtables SNAT ARP rewrite, con potenziale escalation di privilegi o DoS da parte di attaccanti locali. Infine, la CVE-2025-39964 è caratterizzata da una race condition che può causare crash del sistema o corruzione dei risultati di operazioni crittografiche.
È importante notare che la CVE-2025-39682 può essere attivata da remoto solo su sistemi che utilizzano il percorso di ricezione kTLS, mentre le altre due vulnerabilità sono sfruttabili localmente.
Per mitigare i rischi associati a queste vulnerabilità, sono disponibili alcune misure parziali. Per la CVE-2025-39682, si consiglia di impedire il caricamento del modulo TLS. Per la CVE-2026-53266, è possibile disabilitare la riscrittura degli indirizzi hardware ARP nelle regole ebtables SNAT o rimuovere tali regole su interfacce bridge. Tuttavia, per la CVE-2025-39964, non esistono mitigazioni efficaci al di fuori dell’applicazione delle patch.
Red Hat ha confermato che queste vulnerabilità sono attualmente oggetto di sfruttamento in attacchi reali, definendole ad alto rischio. L’azienda ha anche segnalato l’esistenza di exploit pubblici e raccomandato una correzione con priorità elevata.
Le vulnerabilità del kernel Linux sono trattate come criticità variabili in base al contesto di distribuzione e utilizzo. È fondamentale che gli utenti e gli amministratori di sistema rimangano vigili e aggiornati sulle ultime patch e raccomandazioni di sicurezza, specialmente alla luce di recenti exploit locali di escalation di privilegi, come DirtyAH6, TUNderflow, PPPoEject e DiagSpill.