CISA segnala tre vulnerabilità critiche nel kernel Linux: ecco come proteggersi
La CISA ha identificato tre vulnerabilità critiche nel kernel Linux, richiedendo patch urgenti per proteggere i sistemi.
In Breve
- Quali sono le vulnerabilità segnalate dalla CISA?
- CISA ha segnalato tre vulnerabilità critiche nel kernel Linux: CVE-2025-39682, CVE-2026-53266 e CVE-2025-39964.
- Qual è il termine per la correzione delle vulnerabilità?
- Il termine per la correzione delle vulnerabilità scade il 21 settembre 2026.
- Come possono gli utenti mitigare i rischi?
- Gli utenti possono mitigare i rischi impedendo il caricamento del modulo tls e disabilitando la riscrittura degli indirizzi ARP.
La Cybersecurity and Infrastructure Security Agency (CISA) ha recentemente aggiornato il suo catalogo Known Exploited Vulnerabilities (KEV) con l’aggiunta di tre vulnerabilità significative del kernel Linux. Queste falle, che richiedono un intervento immediato, hanno un termine di correzione fissato a tre giorni, scaduto il 21 settembre 2026.
Le vulnerabilità sono classificate come segue:
- CVE-2025-39682: punteggio di 9.8/10 (critica)
- CVE-2026-53266: punteggio di 8.8/10 (alta)
- CVE-2025-39964: punteggio di 7.8/10 (alta)
Tutte e tre le vulnerabilità sono state corrette nelle rispettive versioni del kernel. In particolare:
- CVE-2025-39682 è stata risolta nelle release stabili 6.1.149, 6.6.103, 6.12.44 e 6.16.4;
- CVE-2025-39964 è stata corretta nelle release 5.10.245, 5.15.194, 6.1.154, 6.6.108, 6.12.49 e 6.16.9;
- CVE-2026-53266 è stata corretta upstream e backportata su rami stabili e distributivi, inclusi 5.10.259, 6.1.176 e 6.12.94.
Le vulnerabilità consentono, a seconda del caso, la divulgazione di memoria o il denial of service (CVE-2025-39682), la scrittura fuori dai limiti nell’implementazione ebtables SNAT ARP rewrite con possibile escalation di privilegi o DoS da parte di attaccanti locali (CVE-2026-53266), e una race condition che permette scritture concorrenti sullo stesso socket AF_ALG, con conseguente crash del sistema o corruzione dei risultati di operazioni crittografiche (CVE-2025-39964).
È importante notare che CVE-2025-39682 potrebbe essere attivabile da remoto solo su sistemi che utilizzano il percorso di ricezione kTLS; le altre due vulnerabilità sono sfruttabili localmente. Per mitigare i rischi, sono disponibili alcune soluzioni parziali:
- Per CVE-2025-39682, si consiglia di impedire il caricamento del modulo tls;
- Per CVE-2026-53266, è possibile disabilitare la riscrittura degli indirizzi hardware ARP nelle regole ebtables SNAT o rimuovere tali regole su interfacce bridge;
- Per CVE-2025-39964, l’unica mitigazione efficace è l’applicazione delle patch.
Red Hat ha confermato che queste vulnerabilità sono già oggetto di sfruttamento in attacchi reali, definendole ad alto rischio e segnalando l’esistenza di exploit pubblici. La raccomandazione è quella di procedere con la correzione con priorità elevata.
Le vulnerabilità del kernel Linux sono trattate come criticità variabili in base al contesto di distribuzione e utilizzo. Negli ultimi mesi, sono stati pubblicati ulteriori exploit locali di escalation privilegi, tra cui DirtyAH6, TUNderflow, PPPoEject e DiagSpill, evidenziando l’importanza di mantenere i sistemi aggiornati e protetti.
