Co se stalo
V jádře operačního systému Linux, tedy v jeho nejnižší vrstvě, která řídí paměť, procesy i síť, byla opravena zranitelnost s označením CVE-2026-46300. Chyba se nachází v části, která zpracovává příchozí síťové pakety. Záznam v databázi NVD byl zveřejněn 23. května 2026 a opravy jsou zapracovány do stabilních větví jádra na kernel.org.
Americká agentura CISA zařadila chybu 28. října 2026 do katalogu aktivně zneužívaných zranitelností (KEV) pod názvem „Linux Kernel Missing Initialization of a Variable Vulnerability“. Evropská databáze zranitelností EUVD, kterou provozuje agentura ENISA, ji pod číslem EUVD-2026-31535 rovněž vede jako zneužívanou od 28. října 2026. Zda chybu využívají i skupiny šířící ransomware, CISA zatím neuvádí.
Proč je to nebezpečné
Jádro při zpracování síťového provozu někdy spojuje menší kousky dat do větších, aby si ušetřilo práci. Některé kousky paměti jsou přitom jen „vypůjčené“, například patří do mezipaměti souborů (page cache), a nesou značku, že se do nich nesmí přímo zapisovat. Při spojování se tato značka ztrácela. Podle popisu opravy pak dešifrování šifrovaného provozu IPsec mohlo zapisovat přímo do paměti patřící souborům.
Pro představu: na zapůjčeném originálu smlouvy je razítko „originál, nepište sem“. Úředník ho sešije s dalšími papíry, razítko se přitom ztratí a kolega pak píše poznámky rovnou do originálu. Chyba je zařazena mezi zápis mimo vyhrazenou paměť (CWE-787), zápis na libovolné místo (CWE-123) a chybějící inicializaci (CWE-456).
Skóre závažnosti CVSS je 7,8 z 10, tedy vysoké. Nepřidělila ho samotná NVD, ale organizace, která CVE zaregistrovala. Podle hodnocení útok vyžaduje lokální přístup a běžná uživatelská oprávnění, nepotřebuje žádnou akci oběti a dopad na důvěrnost, integritu i dostupnost dat je vysoký. Útok tedy nejde přímo z internetu, útočník ale může chybu použít jako další krok, když se do systému dostal například přes zranitelnou webovou aplikaci. Co přesně útočník chybou dosáhne, popis opravy ani CISA blíže neuvádějí.
Katalog CISA KEV obsahuje jen chyby, jejichž zneužívání v praxi je potvrzené. EPSS je odhad pravděpodobnosti, že se chyba bude zneužívat v příštích 30 dnech. K 28. říjnu 2026 je to 10,2 %, což je víc než u 95,7 % všech známých zranitelností.
Koho se to týká
Týká se to systémů s jádrem Linux, které ještě nemají opravu. Přesné rozsahy dotčených verzí jádra zatím nebyly zveřejněny a CISA upozorňuje, že jde o součást, kterou mohou obsahovat různé produkty. Rozhodující je proto, zda vaše distribuce (například Debian, Ubuntu, Red Hat nebo SUSE) už vydala opravené jádro.
Největší riziko je tam, kde má k systému přístup více lidí nebo kde běží cizí kód:
- sdílené webhostingy a servery s více uživatelskými účty
- hostitelé kontejnerů (Docker, Kubernetes), protože kontejnery sdílejí jádro hostitele
- VPS a cloudové servery s webovými aplikacemi, přes které se útočník může dostat do systému
- linuxové servery a brány, které používají šifrování IPsec
Popis opravy uvádí jako příklad právě zpracování IPsec. Zda existují i jiné cesty zneužití, popis chyby neříká, proto opravu neodkládejte ani na systémech bez IPsec.
Jak zjistit, zda jste zasaženi
Všechny následující příkazy pouze čtou informace a nic nemění. Nejprve zjistěte, která verze jádra právě běží a jakou distribuci máte:
uname -r
cat /etc/os-releasePak ověřte, zda balíček běžícího jádra obsahuje opravu této CVE. Na systémech Red Hat, AlmaLinux a Rocky Linux:
rpm -q --changelog kernel-$(uname -r) | grep CVE-2026-46300Na Ubuntu (seznam změn balíčku modulů běžícího jádra, ve kterém jsou uvedena čísla CVE):
apt changelog linux-modules-$(uname -r) | grep CVE-2026-46300Na Debianu seznam změn balíčku jádra čísla CVE spolehlivě neuvádí. Vypište nainstalované balíčky jádra a jejich verzi porovnejte se stavem CVE-2026-46300 v bezpečnostním trackeru Debianu (security-tracker.debian.org):
dpkg -l 'linux-image*' | grep ^iiPokud výstup nic nevrátí, vyhledejte CVE-2026-46300 v bezpečnostním trackeru své distribuce. Zda systém používá IPsec, ukáže příkaz sudo ip xfrm state. Prázdný výstup znamená, že nejsou aktivní žádná IPsec spojení.
Jak to opravit
Opravy jsou zapracovány do stabilních větví jádra na kernel.org, konkrétní čísla opravených verzí ale zatím nebyla zveřejněna. Pro běžnou firmu je správnou cestou aktualizované jádro od výrobce distribuce. CISA dala americkým federálním úřadům termín na nápravu do 31. října 2026, tedy jen tři dny od zařazení do katalogu.
- Sepište si, které servery běží na Linuxu, včetně hostitelů kontejnerů, virtuálních serverů a zařízení postavených na Linuxu.
- Nainstalujte aktualizované jádro z oficiálních repozitářů distribuce, například přes
sudo apt update && sudo apt upgradenebosudo dnf update kernel. - Restartujte server. Nové jádro se začne používat až po restartu, případně přes živé záplatování, pokud ho vaše distribuce nabízí.
- Po restartu ověřte příkazem
uname -r, že běží nová verze. - U zařízení, kde jádro neaktualizujete sami (NAS, firewall, appliance), sledujte bulletiny jejich výrobce.
Pořadí: nejprve servery dostupné z internetu s více uživateli nebo webovými aplikacemi, pak hostitelé kontejnerů a VPN brány, nakonec interní servery. Oficiální dočasné řešení zatím nikdo neuvedl. Než opravu nasadíte, omezte přístup k serverům přes SSH a odstraňte nepotřebné účty.
Co když už jste mohli být napadeni
Konkrétní indikátory napadení, jako podezřelé soubory nebo IP adresy, zatím nebyly zveřejněny. Protože útok předpokládá přístup do systému, hledejte stopy toho, jak se tam útočník dostal a co dělal po získání vyšších práv:
- neznámé účty v
/etc/passwda nečekané změny v/etc/sudoersnebo/etc/sudoers.d/ - neobvyklá přihlášení ve výstupu
lasta v lozích/var/log/auth.lognebo/var/log/secure - nové SSH klíče v souborech
authorized_keys, zejména u účtu root - nečekané pády a chybová hlášení jádra ve výstupu
journalctl -knebodmesg - změněné systémové soubory (kontrola přes
rpm -Vanebodebsums) - neznámé procesy, úlohy v cronu a služby
CISA u této chyby odkazuje i na své požadavky na forenzní analýzu. Pokud najdete něco podezřelého, server naslepo nerestartujte ani neopravujte, protože můžete zničit stopy. Odpojte ho od sítě a přizvěte odborníka na řešení incidentů.