Trhliny v jádře Linuxu: Veřejná hlášení odhalila cestu k převzetí serverů. Část oprav už je dostupná

Linuxové jádro rozhoduje, jak mohou programy přistupovat k paměti, souborům i hardwaru. Chyba v této vrstvě proto může obejít omezení, na která se správci při oddělování uživatelů spoléhají.

Právě takový problém popisuje hlášení ZDI-CAN-33367, které Zero Day Initiative společnosti Trend Micro odeslala 21. října 2026 také na veřejné vývojářské seznamy. ZDI mu přidělila hodnocení CVSS 7,8 z 10 a zařadila jej mezi lokální eskalace oprávnění.

Soubor smíte číst. Chyba dovolí změnit jeho obsah

Zranitelnost se nachází v síťové části jádra, konkrétně ve funkci skb_zerocopy(). Při předávání dat se nezachová příznak upozorňující, že příslušná paměť je sdílená. Další část síťového zpracování pak může takovou paměť nesprávně považovat za vlastní a přepsat ji.

Výsledkem může být změna dat v paměťové mezipaměti souboru, ke kterému má útočník pouze oprávnění ke čtení. Návrh opravy zveřejněný 22. října doplňuje přenos chybějícího příznaku.

TuxCare ve vlastních testech potvrdil získání práv root na konkrétních instalacích AlmaLinuxu, Debianu a Ubuntu. Root představuje administrátorský účet s nejvyššími oprávněními. Výsledek testů ale nelze automaticky vztáhnout na každou instalaci těchto distribucí.

Lokální chyba může prohloubit už probíhající průnik

Tento problém sám o sobě nepředstavuje vzdálené převzetí libovolného serveru přes internet. Útočník potřebuje možnost spouštět kód na zranitelném systému.

Na sdíleném hostingu může takový přístup získat jako zákazník nebo po napadení jedné webové aplikace. Chyba jádra pak může z omezeného přístupu udělat podstatně rozsáhlejší kompromitaci.

Podle CloudLinuxu veřejná demonstrace vyžaduje také možnost vytvářet uživatelské jmenné prostory, tedy mechanismus používaný k oddělení prostředí procesů. Samotný název distribuce proto k posouzení rizika nestačí.

Další hlášení se týkají souborového serveru i virtualizace

Součástí zveřejněných informací jsou také ZDI-CAN-33774 a ZDI-CAN-33549 v komponentě ksmbd. Jde o SMB server zabudovaný do jádra. Není totožný s běžně používanou Sambou; samotný provoz Samby proto nedokládá vystavení těmto dvěma chybám. ZDI je podle analýzy TuxCare hodnotí skóre 9,0, veřejné demonstrace však nelze zaměňovat za doložené vzdálené převzetí serveru.

Red Hat ve svém předběžném vyhodnocení z 24. října uvádí, že podporované verze RHEL těmito dvěma chybami zasaženy nejsou. Jako potenciálně dotčené naopak označuje ZDI-CAN-33367 a hlášení týkající se ovladače vmwgfx a komponenty nvmet. Závěr o jedné komponentě tedy neznamená, že je celý systém bez rizika.

Opravy už existují. Záleží ale na konkrétní větvi

Starší zprávy popisovaly situaci bez dostupných oprav. CloudLinux však v aktualizaci z 30. října oznámil opravená produkční jádra pro CloudLinux 7 hybrid, 8, 9 a 10. Některé větve rozšířené podpory vedl odděleně jako dosud čekající na opravu.

TuxCare rovněž oznámil dostupnost záplat KernelCare pro vybraná jádra řad EL9 a EL10. Jde o konkrétní podporovaná prostředí, nikoliv univerzální opravu pro všechny linuxové systémy.

Správci by měli ověřit stanovisko svého dodavatele, přesný balíček jádra a způsob aktivace opravy. Pokud běžná aktualizace vyžaduje restart, pouhé stažení balíčku neznamená, že systém již používá opravený kód.

Co by měli správci prověřit

• Zmapovat používaná jádra a dostupné bezpečnostní aktualizace.
• Zjistit, zda systém skutečně provozuje ksmbd a kdo k němu má síťový přístup.
• Posoudit možnost dočasného omezení uživatelských jmenných prostorů. Taková změna může narušit kontejnery nebo sandboxy, a proto vyžaduje ověření dopadů.

Zveřejněný demonstrační exploit není důkazem úspěšných útoků v běžném provozu. Je ale důvodem, proč prověřit vlastní prostředí a nečekat pouze na obecné ujištění, že „Linux už je aktualizovaný“.

Zpracováno 3. listopadu 2026. U průběžně aktualizovaných oznámení je uvedeno datum konkrétního citovaného stavu.