הסוכנות האמריקאית לאבטחת סייבר ותשתיות (CISA) הודיעה כי שלוש פגיעויות בליבת לינוקס מנוצלות באופן פעיל בסביבות אמיתיות. ב-18 בספטמבר, פגמים אלה נוספו לקטלוג הפגיעויות המנוצלות (KEV), מה שהפעיל חלון של 72 שעות לסוכנויות פדרליות ליישם את התיקונים המתאימים, בהתאם להנחיה BOD 26-04. אבל זו לא רק בעיה של המגזר הציבורי: כל ארגון שמריץ לינוקס בסביבת ייצור, משרתים ועד חוות רינדור, צריך לשים לב לכך מיד.
בינתיים, בינה מלאכותית משנה לחלוטין את נוף האבטחה בקוד פתוח. מצד אחד, כלים כמו GLM-5.3 חשפו למעלה מאלף פגיעויות חדשות בפרויקטים קריטיים, כולל ליבת לינוקס. מצד שני, מפולת הממצאים הזו מכריעה את מתחזקי הפרויקטים, שכמעט ולא יש להם זמן לעיין בדוחות ובתיקונים, שרבים מהם טריוויאליים או כפולים. מצב זה הוביל את לינוס טורבאלדס עצמו להביע את תסכולו וליישם צעדים מחמירים יותר עבור אינטגרציות עתידיות.
שלוש הפגיעויות שמעסיקות את CISA
מפגעי ה-CVE שזוהו הם CVE-2025-39682, CVE-2025-39964, ו-CVE-2026-53266. הראשון, עם ציון CVSS שנע בין 7.1 לפי NVD ל-9.8 לפי SecurityWeek, נמצא במימוש התוכנה של TLS (net/tls/tls_sw.c). הוא מופעל כאשר תוקף מעבד רשומת TLS באורך אפס במצב אפס-עותקים, מה שפוגע במונה הייחוס של המאגר וגורם לאירוע use-after-free. זה יכול לגרום לכל דבר, החל מקריסת ליבה ועד דליפת מידע רגיש. זה משפיע על גרסאות 6.0 עד 6.16.3 ועל גרסאות 6.17-rc1/rc2.
הפגיעות השנייה, CVE-2025-39964, ממוקמת בממשק AF_ALG של ממשק ה-API לקריפטוגרפיה במרחב המשתמש. זהו מצב מרוץ המאפשר לשני כותבים בו זמנית לשלב נתונים באותו שקע, מה שמשאיר את המצב הפנימי לא עקבי. למרות שציון ה-CVSS שלו משתנה בין 3.3 (NVD), 5.5 (Red Hat) ו-7.8 (CNA), הכללתו בקטלוג KEV מאשרת שהניצול אמיתי ומסוכן. לבסוף, CVE-2026-53266 משפיע על יעד ebt_snat של גשר netfilter, ומאפשר כתיבה מחוץ לתחום לזיכרון הליבה בעת עיבוד חבילת ARP במאגר שקעים לא לינארי. עם ציון CVSS של 8.8, זהו וקטור ברור להסלמת הרשאות מקומיות.
בינה מלאכותית מציפה את מתחזקי הליבה
העלייה במספר הפגיעויות המדווחות אינה מקרית. על פי נתונים שהציג גרג קרואה-הרטמן בכנס Kernel Recipes 2026, מספר תקלות ה-CVE שתוקנו לכל גרסת ליבה עלה מכ-500 בגרסאות 6.9 עד 6.19 ליותר מ-1.000 החל מ-Linux 7.0, ויותר מ-1.500 בלינוקס 7.2. תחזיות מצביעות על כך ש-Linux 7.3 עשויה לעלות על 2.000. חלק ניכר מעלייה זו מיוחס לשימוש בבינה מלאכותית לביקורת קוד . עם זאת, רוב הממצאים הם בעדיפות נמוכה או קשורים למנהלי התקנים ישנים יותר, ורבים מהם הם כפילויות.
עומס העבודה על מתחזקי המערכות הפך לבלתי בר קיימא. לינוס טורבאלדס כבר הזהיר כי רשימת תיקוני האבטחה של הליבה הפכה ל"כמעט בלתי ניתנת לניהול לחלוטין". יאקוב קיצ'ינסקי, האחראי על תת-מערכת הרשת, אף הצהיר, "אנחנו מוצפים לחלוטין". יתר על כן, טורבאלדס התלונן כי תיקונים רבים מגיעים בשלבי פיתוח מתקדמים, כמו גרסת לינוקס 7.1 RC5, כאשר היו צריכים להיות מוצעים מוקדם יותר. הוא הבטיח להיות נוקשה יותר ולדחות בקשות משיכה שאינן מציעות ערך אמיתי. מצב זה לא רק משפיע על היציבות אלא גם יכול לפגוע באבטחה, שכן התיקונים הנכונים עלולים ללכת לאיבוד ברעש.
המלצות ואמצעי הפחתה למנהלים
לנוכח גל הפגיעויות הזה, מנהלי המערכת חייבים לפעול במהירות ולא להסתמך אך ורק על תיקונים רשמיים. עבור שלושת מערכות ה-CVE של CISA, העדיפות היא לעדכן את הליבה לגרסה מתוקנת של ההפצה שבשימוש. במקרה של הפגיעות af_unix שזוהתה לאחרונה (CVE-2026-80521), מומלץ גם להחיל את התיקון המתאים, מכיוון שהוא משפיע על ענפים 6.1, 6.6 ואילך, החל מ-6.10. עם זאת, לא תמיד ניתן להפעיל מחדש את הצמתים באופן מיידי; לכן מומלץ ליישם בקרות פיצוי.
עבור CVE-2026-53266, ניתן להשבית את מודול ebtables באמצעות סקריפט שפורק את המודול התומך ולאחר מכן חוסם את טעינתו העתידית ב-/etc/modprobe.d/. עבור שתי הפגיעויות האחרות, שימוש ב-eBPF עם Falco יכול לזהות ניסיונות ניצול מוקדם, ומדיניות seccomp יכולה לחסום את הקריאות למערכת ההפעלה. בנוסף, הפעלת מרחבי שמות של משתמשים עם containerd v2.2+ ו-Kubernetes CRI v1.30, באמצעות hostUsers: false, מפחיתה את ההשפעה של הסלמת הרשאות. אמצעים אלה, יחד עם ניטור רציף של צמתים, קונים זמן עד שניתן לבצע אתחול מחדש עם ליבה מתוקנת.
לבסוף, חשוב לזכור שבינה מלאכותית מסייעת גם בניקוי קוד מיושן ובהסרת תת-מערכות מדור קודם, מה שיכול להפחית את משטח ההתקפה בטווח הארוך. למרות שהמצב הנוכחי כאוטי, המערכת האקולוגית של הליבה מסתגלת. מנהלי מערכת צריכים להישאר מעודכנים, להירשם לרשימות מעקב אבטחה ולתעדף פגיעויות המפורטות בקטלוגים רשמיים כמו KEV. גמישות בתיקון ושימוש בהגנות מעמיקות חיוניים כעת יותר מתמיד להגנה על סביבות ייצור מבוססות לינוקס.
