פורסמו קודי ניצול פעילים לארבע פגיעויות בליבת לינוקס המאפשרות עליית הרשאות לרוט

חוקר אבטחה פרסם ניתוח טכני וקודי ניצול פעילים לארבע פגיעויות נפרדות בליבת Linux, כולן מאפשרות למשתמש מקומי לא מורשה להשיג הרשאות רוט מלאות. הפגיעויות תוקנו כבר בגרסאות היציבות של הליבה בתיאום עם ההפצות, כך שאין עדיין דיווח על ניצול בפועל, אך פרסום קוד ניצול עובד משנה את התמונה עבור כל מי שעדיין לא עדכן.

איור קונספטואלי של שרת עם מנעול פרוץ, המסמל פגיעות בליבת לינוקס

שם / מזהה	רכיב בליבה	חומרה (CVSS)	מנוצל בפועל
DirtyAH6 (CVE-2026-80844)	IPsec AH6 (IPv6)	לא פורסם	לא
TUNderflow (CVE-2026-81000)	TUN/TAP	לא פורסם	לא
PPPoEject (CVE-2026-68121)	PPPoE	לא פורסם	לא
DiagSpill (CVE-2026-74469)	SCTP (sctp_diag)	לא פורסם	לא

מה קרה

החוקר Asim Manizada דיווח על הפגיעויות לצוות האבטחה של הליבה כבר ביולי 2026, ופרסם ניתוח טכני וקודי ניצול פעילים ב-19 בספטמבר 2026, לאחר תקופת המתנה מתואמת שאפשרה להפצות לשלב את התיקונים. כל ארבע הפגיעויות הן באגי בטיחות זיכרון (כתיבה מחוץ לתחום, גלישת מספר שלם, ושימוש אחרי שחרור) ברכיבי רשת של הליבה, ומאפשרות למשתמש מקומי להשחית זיכרון ליבה ולעלות להרשאות רוט. שלוש מהפגיעויות — DirtyAH6, TUNderflow ו-PPPoEject — דורשות שמתאפשר למשתמש רגיל ליצור unprivileged user namespaces, אפשרות שמופעלת כברירת מחדל בהפצות רבות. הרביעית, DiagSpill, אינה דורשת זאת כלל. הבאגים עצמם ישנים — בין 10 ל-21 שנה — והחוקר מציין שאיתר אותם בעזרת כלי ניתוח מבוסס בינה מלאכותית שמיפה את התנהגות הזיכרון בליבה.

התיקונים המלאים נכללו בגרסאות היציבות 5.10.270, 5.15.221, 6.1.188, 6.6.157, 6.12.109, 6.18.50 ו-7.2.4. רוב המשתמשים בפועל מריצים גרסאות ליבה של ההפצה (Debian, Ubuntu, Red Hat, SUSE) שמתוזמנות בנפרד, כך שיש לבדוק מול ה-changelog של ההפצה הספציפית ולא רק מול מספרי הגרסה הרשמיים של הליבה.

נקודות לשים לב

עדכנו שרתי לינוקס לגרסת ליבה שכוללת את התיקון, או לגרסת ההפצה המתאימה שמשלבת אותו — זה הצעד המומלץ על ידי החוקר עצמו, ולא הסתמכות בלבד על נטרול תכונות.
אם עדכון מיידי לא אפשרי, אפשר לצמצם חשיפה בנטרול unprivileged user namespaces — זה חוסם שלוש מתוך ארבע הפגיעויות, אך לא את DiagSpill.
למי שלא זקוק לרכיבים הרלוונטיים, ניתן לצמצם עוד יותר על ידי נטרול המודולים AH6, TUN/TAP, PPPoE ו-SCTP שאינם בשימוש.
אין עדיין דיווח על ניצול בזירה האמיתית, וניצול מרוחק (ולא רק מקומי) הוגדר על ידי החוקר עצמו כ"קשה ביותר" — אך פרסום קוד עובד מקצר משמעותית את הזמן עד לניצול בשטח, ולכן העדכון דחוף במיוחד לסביבות ריבוי-משתמשים ומכולות.

מקורות: The Hacker News · הניתוח הטכני של החוקר