Čo sa stalo
V jadre operačného systému Linux, teda v jeho najnižšej vrstve, ktorá riadi pamäť, procesy aj sieť, bola opravená zraniteľnosť s označením CVE-2026-46300. Chyba je v časti, ktorá spracúva prichádzajúce sieťové pakety. Záznam v databáze NVD bol zverejnený 23. mája 2026 a opravy sú zapracované do stabilných vetiev jadra na kernel.org.
Americká agentúra CISA zaradila chybu 28. októbra 2026 do katalógu aktívne zneužívaných zraniteľností (KEV) pod názvom „Linux Kernel Missing Initialization of a Variable Vulnerability“. Európska databáza zraniteľností EUVD, ktorú prevádzkuje agentúra ENISA, ju pod číslom EUVD-2026-31535 tiež vedie ako zneužívanú od 28. októbra 2026. Či chybu využívajú aj skupiny šíriace ransomvér, CISA zatiaľ neuvádza.
Prečo je to nebezpečné
Jadro pri spracovaní sieťovej prevádzky niekedy spája menšie kúsky dát do väčších, aby si ušetrilo prácu. Niektoré kúsky pamäte sú pritom len „požičané“, napríklad patria do vyrovnávacej pamäte súborov (page cache), a nesú značku, že sa do nich nesmie priamo zapisovať. Pri spájaní sa táto značka strácala. Podľa opisu opravy potom dešifrovanie šifrovanej prevádzky IPsec mohlo zapisovať priamo do pamäte patriacej súborom.
Prirovnanie: na zapožičanom origináli zmluvy je pečiatka „originál, nepíšte sem“. Úradník ho zošije s ďalšími papiermi, pečiatka sa pri tom stratí a kolega potom píše poznámky rovno do originálu. Chyba je zaradená medzi zápis mimo vyhradenej pamäte (CWE-787), zápis na ľubovoľné miesto (CWE-123) a chýbajúcu inicializáciu (CWE-456).
Skóre závažnosti CVSS je 7,8 z 10, teda vysoké. Nepridelila ho samotná NVD, ale organizácia, ktorá CVE zaregistrovala. Podľa hodnotenia útok vyžaduje lokálny prístup a bežné používateľské oprávnenia, nepotrebuje žiadnu akciu obete a dopad na dôvernosť, integritu aj dostupnosť dát je vysoký. Útok teda nejde priamo z internetu, útočník však môže chybu použiť ako ďalší krok, keď sa do systému dostal napríklad cez zraniteľnú webovú aplikáciu. Čo presne útočník chybou dosiahne, opis opravy ani CISA bližšie neuvádzajú.
Katalóg CISA KEV obsahuje len chyby, ktorých zneužívanie v praxi je potvrdené. EPSS je odhad pravdepodobnosti, že sa chyba bude zneužívať v najbližších 30 dňoch. K 28. októbru 2026 je to 10,2 %, čo je viac ako pri 95,7 % všetkých známych zraniteľností.
Koho sa to týka
Týka sa to systémov s jadrom Linux, ktoré ešte nemajú opravu. Presné rozsahy dotknutých verzií jadra zatiaľ neboli zverejnené a CISA upozorňuje, že ide o súčasť, ktorú môžu obsahovať rôzne produkty. Rozhodujúce je preto, či vaša distribúcia (napríklad Debian, Ubuntu, Red Hat či SUSE) už vydala opravené jadro.
Najväčšie riziko je tam, kde má k systému prístup viac ľudí alebo kde beží cudzí kód:
- zdieľané webhostingy a servery s viacerými používateľskými účtami
- hostitelia kontajnerov (Docker, Kubernetes), pretože kontajnery zdieľajú jadro hostiteľa
- VPS a cloudové servery s webovými aplikáciami, cez ktoré sa útočník môže dostať do systému
- linuxové servery a brány, ktoré používajú šifrovanie IPsec
Opis opravy uvádza ako príklad práve spracovanie IPsec. Či existujú aj iné cesty zneužitia, opis chyby nehovorí, preto opravu neodkladajte ani na systémoch bez IPsec.
Ako zistiť, či ste zasiahnutí
Všetky nasledujúce príkazy len čítajú informácie a nič nemenia. Najprv zistite, ktorá verzia jadra práve beží a akú distribúciu máte:
uname -r
cat /etc/os-releasePotom overte, či balík spusteného jadra obsahuje opravu tejto CVE. Na systémoch Red Hat, AlmaLinux a Rocky Linux:
rpm -q --changelog kernel-$(uname -r) | grep CVE-2026-46300Na Ubuntu (zoznam zmien balíka modulov spusteného jadra, v ktorom sú uvedené čísla CVE):
apt changelog linux-modules-$(uname -r) | grep CVE-2026-46300Na Debiane zoznam zmien balíka jadra čísla CVE spoľahlivo neuvádza. Vypíšte nainštalované balíky jadra a ich verziu porovnajte so stavom CVE-2026-46300 v bezpečnostnom trackeri Debianu (security-tracker.debian.org):
dpkg -l 'linux-image*' | grep ^iiAk výstup nič nevráti, vyhľadajte CVE-2026-46300 v bezpečnostnom trackeri svojej distribúcie. Či systém používa IPsec, ukáže príkaz sudo ip xfrm state. Prázdny výstup znamená, že nie sú aktívne žiadne IPsec spojenia.
Ako to opraviť
Opravy sú zapracované do stabilných vetiev jadra na kernel.org, konkrétne čísla opravených verzií však zatiaľ neboli zverejnené. Pre bežnú firmu je správnou cestou aktualizované jadro od výrobcu distribúcie. CISA dala americkým federálnym úradom termín na nápravu do 31. októbra 2026, teda len tri dni od zaradenia do katalógu.
- Spíšte si, ktoré servery bežia na Linuxe, vrátane hostiteľov kontajnerov, virtuálnych serverov a zariadení postavených na Linuxe.
- Nainštalujte aktualizované jadro z oficiálnych repozitárov distribúcie, napríklad cez
sudo apt update && sudo apt upgradealebosudo dnf update kernel. - Reštartujte server. Nové jadro sa začne používať až po reštarte, prípadne cez živé záplatovanie, ak ho vaša distribúcia ponúka.
- Po reštarte overte príkazom
uname -r, že beží nová verzia. - Pri zariadeniach, kde jadro neaktualizujete sami (NAS, firewall, appliance), sledujte bulletiny ich výrobcu.
Poradie: najprv servery dostupné z internetu s viacerými používateľmi alebo webovými aplikáciami, potom hostitelia kontajnerov a VPN brány, nakoniec interné servery. Oficiálne dočasné riešenie zatiaľ nikto neuviedol. Kým opravu nasadíte, obmedzte prístup k serverom cez SSH a odstráňte nepotrebné účty.
Čo ak už ste mohli byť napadnutí
Konkrétne indikátory napadnutia, ako podozrivé súbory alebo IP adresy, zatiaľ neboli zverejnené. Keďže útok predpokladá prístup do systému, hľadajte stopy toho, ako sa tam útočník dostal a čo robil po získaní vyšších práv:
- neznáme účty v
/etc/passwda nečakané zmeny v/etc/sudoersalebo/etc/sudoers.d/ - nezvyčajné prihlásenia vo výstupe
lasta v logoch/var/log/auth.logalebo/var/log/secure - nové SSH kľúče v súboroch
authorized_keys, najmä pri účte root - nečakané pády a chybové hlásenia jadra vo výstupe
journalctl -kalebodmesg - zmenené systémové súbory (kontrola cez
rpm -Vaalebodebsums) - neznáme procesy, úlohy v cron a služby
CISA pri tejto chybe odkazuje aj na svoje požiadavky na forenznú analýzu. Ak nájdete niečo podozrivé, server naslepo nereštartujte ani neopravujte, lebo môžete zničiť stopy. Odpojte ho od siete a prizvite odborníka na riešenie incidentov.