Tre vulnerabilità Linux nel mirino: l'allarme lanciato da CISA

CISA (Cybersecurity and Infrastructure Security Agency) ha inserito tre vulnerabilità del kernel Linux nel catalogo Known Exploited Vulnerabilities dopo aver rilevato segnali di sfruttamento attivo.

La segnalazione interessa componenti distinti, dalla gestione del traffico TLS alle funzioni di rete e alle operazioni crittografiche, mostrando come difetti confinati a sottosistemi differenti possano assumere rilievo operativo quando raggiungono sistemi Linux esposti o multiutente.

L’articolo di The Hacker News, pubblicato il 19 settembre 2026, precisa che non sono disponibili dettagli pubblici sulle modalità degli attacchi né elementi per stabilire se le falle facciano parte di un’unica catena. Red Hat ha però aggiornato i propri advisory riconoscendo lo sfruttamento attivo e la presenza di exploit pubblici.

Le tre falle colpiscono aree diverse del kernel

La prima vulnerabilità, CVE-2025-39682, riguarda il percorso di ricezione di kTLS. Il difetto nasce dalla gestione di record TLS di lunghezza zero presenti nella rx_list: in una specifica sequenza, il codice può trattare in modo errato il record successivo durante le operazioni di ricezione e zero-copy.

NVD riporta una valutazione CVSS 3.1 di 7.1, mentre il progetto kernel.org assegna 9.8, una differenza che deriva da vettori di valutazione distinti. Le configurazioni Linux interessate comprendono diversi rami, tra cui 6.1 prima della 6.1.149 e 6.12 prima della 6.12.44.

CVE-2026-53266 interessa invece ebtables, il sottosistema impiegato per il filtraggio del traffico Ethernet nei bridge. La falla consiste in una scrittura fuori dai limiti nel percorso di riscrittura SNAT associato ad ARP. Secondo la descrizione, un attaccante locale può provocare comportamenti anomali, indisponibilità del sistema oppure un’escalation dei privilegi. Il punteggio CVSS indicato dalla fonte è 8.8. Il requisito dell’accesso locale restringe lo scenario iniziale, ma aumenta l’importanza del difetto quando un aggressore ha già ottenuto una sessione con privilegi limitati.

La terza falla, CVE-2025-39964, riguarda AF_ALG, l’interfaccia socket attraverso cui i processi possono accedere alle primitive crittografiche del kernel. Una race condition consente scritture concorrenti sullo stesso socket e può provocare crash oppure corruzione dei risultati delle operazioni crittografiche. Il rischio interessa quindi sia la disponibilità sia l’integrità dei dati elaborati. Il CVSS riportato nell’articolo è 7.8. L’insieme delle tre vulnerabilità mostra tre classi tecniche differenti: gestione anomala dei record, accesso oltre i limiti e sincronizzazione concorrente.

Perché la segnalazione richiede una verifica immediata

L’elemento che distingue queste falle da molte altre CVE è l’inclusione nel catalogo KEV di CISA. La presenza nell’elenco indica che l’agenzia dispone di evidenze di sfruttamento reale, non soltanto di una valutazione teorica della possibilità di attacco. Per chi amministra infrastrutture Linux, il dato cambia quindi il criterio di priorità: oltre alla versione del software occorre stabilire quali host utilizzino i componenti interessati, quali siano raggiungibili e quali registri possano documentare attività anomale.

Per le agenzie del Federal Civilian Executive Branch, la direttiva BOD 26-04 ha fissato il 21 settembre 2026 come termine raccomandato per applicare le correzioni. Red Hat, negli aggiornamenti citati da The Hacker News, ha inoltre invitato a trattare le vulnerabilità con alta priorità. Per gli altri ambienti la verifica deve partire dagli advisory del proprio distributore: confrontare soltanto il numero del kernel upstream può produrre risultati errati, perché i vendor possono integrare correzioni nei rispettivi pacchetti.

La conseguenza più importante riguarda la gestione dell’incidente, non soltanto l’aggiornamento. Se un host risultava vulnerabile durante una finestra di possibile sfruttamento, la chiusura della falla non dimostra da sola l’assenza di compromissione. Log di autenticazione, telemetria dei processi, eventi del kernel e variazioni inattese nei privilegi possono fornire elementi per ricostruire eventuali attività precedenti. L’assenza di dettagli pubblici sulle tecniche usate dagli aggressori impone prudenza nell’attribuire una specifica catena di attacco alle tre CVE.