ליבת לינוקס מריצה את השרתים, את מכונות הענן ואת חלק גדול מהציוד שמחבר אותם. בסוף אוקטובר 2026 הצטרפה חולשה שבה לקטלוג החולשות שידוע שתוקפים מנצלים אותן. הציון הוא 7.8 מתוך 10, הניצול דורש דריסת רגל מקומית על המכונה ואינו מגיע ישירות מהאינטרנט, ולכל ענף נתמך יש גרסה שסוגרת אותה.

מה החולשה?

כשמגיעות לשרת חבילות רשת רבות וקטנות, הליבה מנסה לחסוך בעבודה ולאחד אותן לחבילה אחת גדולה במקום לטפל בכל אחת בנפרד. בתוך האיחוד הזה היא מעבירה מצביעים לאזורי הזיכרון שבהם יושב התוכן, ולא בהכרח מעתיקה את הבתים עצמם.

חלק מאזורי הזיכרון האלה אינם שלה. הם יכולים להיות שייכים למנגנון שמחזיק בזיכרון תוכן של קבצים שנקראו מהדיסק, או לגורם חיצוני אחר, ולכן הליבה מסמנת אותם בדגל מיוחד שאומר דבר אחד: אל תכתוב כאן ישירות, קודם קח עותק. לפי הרשומה, בזמן האיחוד הדגל הזה נעלם.

מכאן הכשל מסתדר מעצמו. הרכיב שמפענח תעבורה מוצפנת מסוג IPsec בודק את הדגל כדי להחליט אם מותר לו לפענח במקום, כלומר לכתוב את התוצאה המפוענחת על אותו זיכרון עצמו. כשהדגל חסר הוא מקבל תשובה שגויה, ומפענח במקום על זיכרון שבו יושב תוכן של קבצים. הסיווג הרשמי הוא CWE-787, כתיבה מחוץ לתחום הזיכרון שהוקצה, והתיקון שהוכנס לליבה מעביר את הדגל הלאה בזמן האיחוד.

מי מושפע?

כמעט כל ענף של הליבה. לפי הרשומה החולשה נוכחת מגרסה 3.9 והלאה, והגרסאות שסוגרות אותה הן 5.15.208, 6.1.174, 6.6.141, 6.12.91, 6.18.33 ו-7.0.10, כל אחת בענף שלה. גרסה 7.1 מסומנת כמושפעת, והענף שמסתיים ב-5.10.257 מסומן כמושפע עד הגרסה הזאת ועד בכלל, בלי שהרשומה מצביעה בו על תיקון.

בפועל זה נוגע למי שמריץ שרתים, מכונות וירטואליות בענן או ציוד שמבוסס לינוקס, ולא למי שרק גולש. ושני תנאים מצמצמים את התמונה עוד: הרשומה מסמנת שהגישה הנדרשת היא מקומית ושהתוקף צריך הרשאות משתמש בסיסיות על המכונה, כך שמדובר בהסלמה אחרי שמישהו כבר בפנים, לא בדלת הראשונה.

בשרת שמשרת כמה משתמשים או מריץ קוד של לקוחות זה הבדל קטן מאוד.

האם מנוצלת בפועל?

כן, לפי CISA. ב-28 באוקטובר 2026 נוספה החולשה לקטלוג ה-KEV, הרשימה שסוכנות הסייבר האמריקאית מנהלת ושנכנסות אליה רק חולשות שתועד בהן ניצול אמיתי. לגופים הפדרליים בארצות הברית נקבע מועד טיפול, 11 בנובמבר 2026.

הרשומה עצמה אינה מתארת את הניצול ואינה אומרת מי תוקף או את מי. מה שיש בה זה הקביעה שהניצול קיים, וארבעה קישורים אל התיקון עצמו במאגר הגרסאות היציבות של הליבה. מי שרוצה לראות מה בדיוק שונה בקוד יכול לפתוח אותם.

מה עושים?

1. בדקו איזו גרסה רצה אצלכם. הפקודה uname -r מדפיסה את גרסת הליבה שהמכונה מריצה כרגע.

2. עדכנו דרך מנהל החבילות של ההפצה ולא בהחלפת ליבה ביד. בדביאן ובאובונטו זה apt update ואחריו apt upgrade, בהפצות ממשפחת רד האט זה dnf update. אחרי התקנה של ליבה חדשה נדרש אתחול כדי שהיא תיטען.

3. השוו מול הרשימה: 5.15.208, 6.1.174, 6.6.141, 6.12.91, 6.18.33 או 7.0.10, לפי הענף שאתם עליו. חשוב לדעת שההפצות מתחזקות מספור משלהן, ולעיתים מספר הגרסה אצלן נראה נמוך מהמספרים האלה אף שהתיקון כבר נכלל בו. במקרה כזה הדרך לבדוק היא בהודעת האבטחה של ההפצה ולא בהשוואת מספרים.

4. מי שנמצא על הענף שמסתיים ב-5.10.257, או על 7.1, צריך לבדוק מול ההפצה שלו לאן לעבור, כי הרשומה אינה מצביעה שם על גרסה מתוקנת. התיקון עצמו זמין במאגר הגרסאות היציבות של הליבה.