La Cybersecurity and Infrastructure Security Agency (CISA) degli Stati Uniti ha annunciato che tre vulnerabilità del kernel Linux sono attivamente sfruttate in ambienti reali. Il 18 settembre, queste falle sono state aggiunte al catalogo delle vulnerabilità note sfruttate (KEV), dando alle agenzie federali un periodo di 72 ore per implementare le relative correzioni, secondo la Direttiva BOD 26-04. Ma questo non è un problema solo per il settore pubblico: qualsiasi organizzazione che utilizzi Linux in produzione, dai server alle render farm, dovrebbe prenderne immediatamente atto.
Nel frattempo, l'intelligenza artificiale sta cambiando radicalmente il panorama della sicurezza open source. Da un lato, strumenti come GLM-5.3 hanno scoperto oltre mille nuove vulnerabilità in progetti critici, incluso il kernel Linux. Dall'altro, questa valanga di scoperte sta travolgendo i manutentori, che hanno a malapena il tempo di esaminare report e patch, molte delle quali sono banali o duplicate. Questa situazione ha spinto lo stesso Linus Torvalds a esprimere la sua frustrazione e ad implementare misure più rigorose per le future integrazioni.
Le tre vulnerabilità che preoccupano la CISA
Le vulnerabilità CVE identificate sono CVE-2025-39682, CVE-2025-39964 e CVE-2026-53266. La prima, con un punteggio CVSS che varia da 7.1 secondo NVD a 9.8 secondo SecurityWeek, risiede nell'implementazione software di TLS (net/tls/tls_sw.c). Si attiva quando un utente malintenzionato elabora un record TLS di lunghezza zero in modalità zero-copy, corrompendo il contatore di riferimenti del buffer e causando un evento use-after-free. Ciò può provocare diversi problemi, dal crash del kernel alla divulgazione di informazioni sensibili. La vulnerabilità interessa le versioni dalla 6.0 alla 6.16.3 e le release candidate 6.17-rc1/rc2.
La seconda vulnerabilità, CVE-2025-39964, si trova nell'interfaccia AF_ALG dell'API di crittografia in spazio utente. Si tratta di una condizione di gara che consente a due scrittori concorrenti di intercalare dati sullo stesso socket, lasciando lo stato interno incoerente. Sebbene il suo punteggio CVSS vari tra 3.3 (NVD), 5.5 (Red Hat) e 7.8 (CNA), la sua inclusione nel catalogo KEV conferma che l'exploit è reale e pericoloso. Infine, CVE-2026-53266 interessa il target ebt_snat del bridge netfilter, consentendo la scrittura fuori dai limiti della memoria del kernel durante l'elaborazione di un pacchetto ARP su un buffer di socket non lineare. Con un punteggio CVSS di 8.8, rappresenta un chiaro vettore per l'escalation dei privilegi locali.
L'IA travolge i manutentori del kernel
L'aumento delle vulnerabilità segnalate non è casuale. Secondo i dati presentati da Greg Kroah-Hartman alla conferenza Kernel Recipes 2026, il numero di CVE corrette per ogni versione del kernel è passato da circa 500 nelle versioni dalla 6.9 alla 6.19 a oltre 1.000 a partire da Linux 7.0, e a più di 1.500 in Linux 7.2. Le previsioni suggeriscono che Linux 7.3 potrebbe superare quota 2.000. Gran parte di questo aumento è attribuito all'utilizzo dell'intelligenza artificiale per l'analisi del codice . Tuttavia, la maggior parte delle vulnerabilità individuate sono a bassa priorità o riguardano driver più vecchi, e molte sono duplicate.
Il carico di lavoro per i manutentori è diventato insostenibile. Linus Torvalds aveva già avvertito che l'elenco delle patch di sicurezza del kernel era diventato "quasi completamente ingestibile". Jakub Kicinski, responsabile del sottosistema di rete, ha addirittura affermato: "Siamo completamente sopraffatti". Inoltre, Torvalds si è lamentato del fatto che molte correzioni arrivino in fasi avanzate di sviluppo, come la release Linux 7.1 RC5, quando avrebbero dovuto essere proposte prima. Ha promesso di essere più inflessibile e di rifiutare le pull request che non offrono un reale valore aggiunto. Questa situazione non solo influisce sulla stabilità, ma può anche compromettere la sicurezza, poiché le patch giuste rischiano di perdersi nel caos.
Raccomandazioni e misure di mitigazione per gli amministratori
Di fronte a questa ondata di vulnerabilità, gli amministratori di sistema devono agire rapidamente e non affidarsi esclusivamente alle patch ufficiali. Per le tre CVE CISA, la priorità è aggiornare il kernel a una versione patchata della distribuzione in uso. Nel caso della vulnerabilità af_unix recentemente identificata (CVE-2026-80521), è consigliabile applicare anche la patch corrispondente, poiché interessa le versioni 6.1, 6.6 e successive, a partire dalla 6.10. Tuttavia, non è sempre possibile riavviare immediatamente i nodi; pertanto, si raccomanda di implementare controlli compensativi.
Per la vulnerabilità CVE-2026-53266, il modulo ebtables può essere disabilitato tramite uno script che scarica il modulo residente e ne blocca il caricamento futuro in /etc/modprobe.d/. Per le altre due vulnerabilità, l'utilizzo di eBPF con Falco può rilevare tempestivamente i tentativi di sfruttamento, e le policy seccomp possono bloccare le chiamate di sistema coinvolte. Inoltre, l'abilitazione dei namespace utente con containerd v2.2+ e Kubernetes CRI v1.30, utilizzando hostUsers: false, riduce l'impatto dell'escalation dei privilegi. Queste misure, insieme al monitoraggio continuo dei nodi, consentono di guadagnare tempo fino a quando non è possibile eseguire un riavvio con un kernel patchato.
Infine, è importante ricordare che l'IA sta anche contribuendo a ripulire il codice obsoleto e a rimuovere i sottosistemi legacy, il che può ridurre la superficie di attacco nel lungo periodo. Sebbene la situazione attuale sia caotica, l'ecosistema del kernel si sta adattando. Gli amministratori dovrebbero tenersi informati, iscriversi alle watchlist di sicurezza e dare priorità alle vulnerabilità elencate nei cataloghi ufficiali come KEV. L'agilità nell'applicazione delle patch e l'utilizzo di difese multilivello sono, ora più che mai, essenziali per proteggere gli ambienti di produzione basati su Linux.
