L'AgĆØncia de Seguretat d'Infraestructura i Ciberseguretat dels Estats Units (CISA) ha comunicat que tres vulnerabilitats del nucli de Linux estan sent explotades activament en entorns reals. El 18 de setembre passat, aquestes fallades van ser incorporades al catĆ leg KEV (Known Exploited Vulnerabilities), cosa que activa un termini de 72 hores perquĆØ les agĆØncies federals apliquin les correccions corresponents, segons la directiva BOD 26-04. PerĆ² aixĆ² no Ć©s nomĆ©s un problema per al sector pĆŗblic: qualsevol empresa que executi Linux en producciĆ³, des de servidors fins a render farms, ha de prendre nota amb urgĆØncia.
Mentrestant, la intelĀ·ligĆØncia artificial estĆ canviant per complet el panorama de la seguretat al codi obert. D'una banda, eines com GLM-5.3 han permĆØs descobrir mĆ©s de mil noves vulnerabilitats en projectes crĆtics, inclĆ²s el nucli de Linux. De l'altra, aquesta allau de troballes estĆ desbordant els mantenidors, que amb prou feines tenen temps per revisar informes i pegats, molts trivials o duplicats. La situaciĆ³ ha portat el mateix Linus Torvalds a expressar el seu malestar ia prendre mesures mĆ©s estrictes de cara a futures integracions.
Les tres vulnerabilitats que preocupen CISA
Els CVEs assenyalats sĆ³n CVE-2025-39682, CVE-2025-39964 i CVE-2026-53266. El primer, amb una puntuaciĆ³ CVSS que va de 7.1 segons NVD fins a 9.8 segons SecurityWeek, rau en la implementaciĆ³ programari de TLS (net/tls/tls_sw.c). S'activa quan un atacant processa un registre TLS de longitud zero en mode zero-copy, cosa que corromp el comptador de referĆØncies del buffer i desemboca en un use-after-free. AixĆ² pot provocar des d'una caiguda del nucli fins a la fugida d'informaciĆ³ sensible. Afecta les versions 6.0 fins a la 6.16.3 i els candidats a release 6.17-rc1/rc2.
El segon, CVE-2025-39964, es localitza a la interfĆcie AF_ALG de l'API de criptografia en espai d'usuari. Ćs una condiciĆ³ de carrera que permet a dos writers concurrents intercalar dades al mateix socket, deixant l'estat intern inconsistent. Tot i que la seva puntuaciĆ³ CVSS varia entre 3.3 (NVD), 5.5 (Red Hat) i 7.8 (CNA), el fet que aparegui al catĆ leg KEV confirma que l'explotaciĆ³ Ć©s real i perillosa. Finalment, CVE-2026-53266 afecta el target ebt_snat del bridge netfilter, permetent una escriptura fora de lĆmits sobre la memĆ²ria del nucli quan es processa un paquet ARP en un socket buffer no lineal. Amb una CVSS de 8.8, Ć©s un vector clar per a escalada de privilegis local.
La IA satura els mantenidors del nucli
L'augment de les vulnerabilitats reportades no Ć©s una casualitat. Segons dades presentades per Greg Kroah-Hartman a la conferĆØncia Kernel Recipes 2026, el nombre de CVE corregits per versiĆ³ del nucli ha passat d'unes 500 a les versions 6.9 a 6.19 a mĆ©s de 1.000 a partir de Linux 7.0, ia mĆ©s de 1.502. Les previsions apunten que Linux 7.3 podria superar els 2.000. Gran part d'aquest increment s'atribueix a l'Ćŗs d'intelĀ·ligĆØncia artificial per auditar el codi . No obstant aixĆ², la majoria de les troballes sĆ³n de baixa prioritat o corresponen a controladors antics, i molts sĆ³n duplicats.
La cĆ rrega de treball per als mantenidors s'ha tornat insostenible. Linus Torvalds ja va advertir que la llista de seguretat del nucli s'havia tornat Ā«gairebĆ© completament immanejableĀ». Jakub Kicinski, responsable del subsistema de xarxa, va arribar a afirmar: Ā«Estem completament desbordatsĀ». A mĆ©s, Torvalds s'ha queixat que moltes correccions arriben en fases avanƧades del desenvolupament, com ara la RC5 de Linux 7.1, quan s'haurien d'haver proposat abans. Ha promĆØs ser mĆ©s inflexible i rebutjarĆ pull requests que no aportin valor real. Aquesta situaciĆ³ no nomĆ©s afecta l'estabilitat, sinĆ³ que tambĆ© pot comprometre la seguretat, ja que els pegats correctes es poden perdre entre el soroll.
Recomanacions i mesures de mitigaciĆ³ per a administradors
Davant d'aquesta onada de vulnerabilitats, els responsables de sistemes han d'actuar amb rapidesa i no confiar Ćŗnicament en els pegats oficials. Per als tres CVEs de CISA, la prioritat Ć©s actualitzar el kernel a una versiĆ³ corregida de la distribuciĆ³ utilitzada. En el cas de la vulnerabilitat af_unix (CVE-2026-80521), recentment identificada, tambĆ© convĆ© aplicar el pegat corresponent, ja que afecta les branques 6.1, 6.6 i posteriors des de 6.10. PerĆ² no sempre Ć©s possible reiniciar els nodes immediatament; per aixĆ² es recomana implementar controls compensatoris.
Per a CVE-2026-53266, es pot desactivar el mĆ²dul ebtables mitjanƧant un script que descarregui el mĆ²dul resident i desprĆ©s bloquegi la seva cĆ rrega futura a /etc/modprobe.d/. Per als altres dos, l'Ćŗs d'eBPF amb Falco pot detectar intents d'explotaciĆ³ a temps i les polĆtiques de seccomp poden bloquejar les syscalls involucrades. A mĆ©s, habilitar user namespaces amb containerd v2.2+ i Kubernetes CRI v1.30 usant hostUsers: false, redueix l'impacte d'una escalada de privilegis. Aquestes mesures, juntament amb la supervisiĆ³ constant dels nodes, permeten guanyar temps fins que es pugui reiniciar amb el nucli aplicat.
Finalment, Ć©s important recordar que la IA tambĆ© estĆ ajudant a netejar el codi obsolet ia eliminar subsistemes antics, cosa que pot reduir la superfĆcie d'atac a llarg termini. Tot i que la situaciĆ³ actual Ć©s caĆ²tica, l'ecosistema nucli s'estĆ adaptant. Els administradors han de mantenir-se informats, subscriure's a les llistes de seguretat i prioritzar les vulnerabilitats que apareixen a catĆ legs oficials com KEV. L'agilitat en l'aplicaciĆ³ de pegats i l'Ćŗs de defenses en profunditat sĆ³n avui mĆ©s que mai essencials per protegir els entorns productius basats en Linux.
