Приватный отчет об уязвимости попадает в публичный доступ
Инициатива Zero Day Initiative (ZDI) от Trend Micro спровоцировала «Черный октябрь» 22 октября, когда по ошибке опубликовала кэш неисправленных уязвимостей ядра Linux в публичном списке рассылки Linux Kernel Mailing List, вместо закрытого списка безопасности. Мейнтейнер стабильной версии Linux Greg Kroah-Hartman публично потребовал от ZDI объяснений по поводу преждевременного раскрытия zero-day эксплойтов.
Критически важно, что утечка раскрыла две серьезные уязвимости в протоколе Server Message Block (SMB), обе с оценкой CVSS 9.0 и возможностью удаленного выполнения кода. Одна из них, целочисленное переполнение (integer underflow) в SMB Direct (ZDI-CAN-33549), позволяла вызывать переполнение буфера путем манипуляции значениями размера буфера. Вторая, состояние гонки (race condition) в ksmbd (ZDI-CAN-33774), позволяла выполнять удаленный код без аутентификации.
Отчеты появились до того, как исправления стали широко доступны, что подвергло риску миллионы систем. Это не было преднамеренной публикацией или свидетельством активной атаки, а скорее случайным раскрытием, подчеркивающим растущее давление на процесс скоординированного раскрытия уязвимостей. Дизайн SMB, обрабатывающий внешние сетевые данные для обмена файлами, сделал эти баги особенно опасными, напоминая эпидемию WannaCry 2017 года.
Почему баги в SMB могут стать проблемой для каждого
Server Message Block, или SMB, — это сетевой протокол, который позволяет обмениваться файлами и папками. Его архитектура делает его изначально опасным: службы, обрабатывающие входящие сетевые данные, такие как SMB, часто запускаются до входа в систему, что делает их доступными для неавторизованных злоумышленников. Прямая доступность из интернета увеличивает радиус поражения любой уязвимости.
Мы увидели эту опасность воочию в 2017 году с WannaCry, вспышкой программы-вымогателя, которая использовала уязвимость Windows SMB. Хотя текущие баги в Linux отличаются, WannaCry служит суровым напоминанием о том, как быстро уязвимости SMB могут скомпрометировать целые сети. Уязвимости SMB в ядре Linux, обе оцененные в 9.0 баллов по шкале CVSS, представляют схожие риски удаленного выполнения кода.
Помимо критических уязвимостей SMB, другие зарегистрированные проблемы включают:
- Локальное повышение привилегий в сетевом стеке (
skb_zerocopy) - Локальное повышение привилегий в графическом драйвере VMware (
vmwgfx) - Утечку информации в коде цели NVMe (
nvmet)
Степень подверженности этим дополнительным уязвимостям сильно варьируется в зависимости от конфигурации системы и развертывания. Хотя они не являются столь же катастрофичными, как RCE в SMB, эти проблемы подчеркивают системную хрупкость, проявившуюся во время «Черного октября».
Черный октябрь стал нагромождением раскрытий
Черный октябрь был не просто утечкой в Linux; это был поток. Случайное раскрытие неисправленных уязвимостей ядра произошло на фоне шторма критических уведомлений о безопасности, поставив глобальные организации на грань. Самое примечательное, что две серьезные уязвимости в PHP (CVE-2026-109618, CVE-2026-109619) вынудили правительства Франции, Нидерландов и Финляндии отключить публичные веб-сайты для экстренного исправления.
Это не была скоординированная атака, а скорее одновременное давление с нескольких фронтов. Дополнительные отчеты накладывались друг на друга:
- Компрометация центра сертификации eMudhra, потребовавшая быстрого отзыва сертификатов на уровне браузеров.
- Баг в GitLab с оценкой CVSS 10, известный с 2014 года.
- Исправление удаленного выполнения кода в Node.js.
- Сообщения о появлении неавторизованных AI-агентов в банковских аккаунтах США.
Эта волна публичных раскрытий, хотя и интенсивная, не равносильна волне подтвержденных атак. Многие из этих проблем, включая ошибки в ядре Linux, подробно описанные Phoronix, были обнаружены неделями или месяцами ранее. Организации просто спешили исправить их, как только они становились достоянием общественности. Несколько уязвимостей ядра Linux были случайно опубликованы в публичном списке рассылки ядра - Phoronix Этот «Черный октябрь» послужил суровым предупреждением: узкое место сместилось с поиска ошибок на их достаточно быстрое исправление.
Нравится статья? Получайте такие каждое утро на почту.
одно письмо в день · отписка в два клика · без сторонних трекеров
ИИ ускоряет обнаружение; исправление задает темп
ИИ ускорил обнаружение устаревших уязвимостей, однако процесс исправления, выполняемый людьми, остается упорно медленным. Сопровождающие теперь сталкиваются с «волной патчей для уязвимостей», поскольку инструменты ИИ, такие как Mythos от Anthropic, обнаруживают сотни критических ошибок в таких продуктах, как SharePoint, значительно превышая возможности людей. Команда Google Chrome, например, теперь выпускает обновления безопасности дважды в неделю.
Это создает сокращающееся окно возможностей для защитников. Публичные исправления по своей сути раскрывают, что именно изменилось, предоставляя злоумышленникам дорожную карту для разработки эксплойтов. В то же время защитники получают доступ к инструментам безопасности на базе ИИ, что потенциально выравнивает игровое поле, как только схлынет первоначальный поток легко обнаруживаемых ошибок.
Из этой новой реальности вытекают практические приоритеты. Организации должны:
- Провести инвентаризацию всех систем, имеющих выход в интернет
- Немедленно обновить PHP и другое затронутое программное обеспечение
- Следить за исправлениями ядра Linux, проверяя, включен ли ksmbd
- Отключить неиспользуемые компоненты
- По возможности автоматизировать процессы безопасного исправления
Исправление должно стать непрерывной операцией, а не ежеквартальной задачей. NCSC рекомендует политику «обновления по умолчанию», отдавая приоритет системам, доступным из интернета, и заменяя устаревшее программное обеспечение, которое невозможно исправить.
Часто задаваемые вопросы
Что произошло при утечке уязвимостей ядра Linux?
Zero Day Initiative от Trend Micro случайно отправила отчеты о неисправленных уязвимостях в публичный список рассылки ядра Linux вместо частного канала безопасности.
Почему уязвимости SMB в Linux считались опасными?
Две сообщенные уязвимости получили оценку CVSS 9.0 и могли позволить удаленное выполнение кода в коде, связанном с SMB, который обрабатывает сетевой трафик.
Означает ли эта утечка, что системы Linux подвергались активным атакам?
Не обязательно. Раскрытие информации сделало уязвимости публичными, но видео описывает более широкую волну раскрытия уязвимостей, а не подтверждает атаки, использующие эти конкретные недостатки.
Что должны делать администраторы Linux?
Оперативно применять соответствующие обновления дистрибутива, проверять, включен ли ksmbd, и отключать неиспользуемые открытые службы или компоненты в ожидании исправлений.