Błąd w obsłudze IPv6 w jądrze Linux pozwala programowi w kontenerze lub na zwykłym koncie zdobyć uprawnienia root na serwerze. CISA potwierdza ataki, publiczny kod istnieje. Zaktualizuj jądro i uruchom serwery ponownie.
Ten alert jest dla zarządu, CTO i CFO firm, które utrzymują serwery Linux z nowszymi jądrami, szczególnie serwery z kontenerami. Werdykt: jeśli macie Red Hat Enterprise Linux 10, AlmaLinux 10, SUSE, Ubuntu 24.04 lub 26.04 albo inne systemy z jądrem od 6.0 wzwyż, zainstalujcie dziś poprawione jądro i uruchomcie serwery ponownie, bo CISA potwierdza ataki, a publiczny kod pozwala uciec z kontenera i przejąć cały serwer.
Amerykańska agencja CISA 27 sierpnia 2026 roku dopisała CVE-2026-53362 do katalogu KEV, czyli listy podatności, o których ma dowody wykorzystania w prawdziwych atakach. Dała agencjom federalnym trzy dni na naprawę i nakazała sprawdzić, czy do włamania nie doszło wcześniej.
To błąd w jądrze Linux, w części odpowiedzialnej za wysyłanie danych przez sieć IPv6. Pozwala osobie, która już może uruchomić program na serwerze, zapisać dane w pamięci jądra i zdobyć uprawnienia administratora (root). Według Red Hat, który nazwał lukę „ipv6_frag_escape”, użytkownik wewnątrz kontenera może w ten sposób wydostać się na serwer gospodarza i obejść zabezpieczenia SELinux. Poprawki jądra wydano na przełomie czerwca i lipca 2026 roku, a publiczny kod wykorzystujący lukę pojawił się 28 czerwca 2026 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2026-53362 |
Data dodania do CISA KEV | 2026-08-27 |
Termin naprawy wg CISA | 2026-08-30 |
Produkt | Jądro Linux (podsystem IPv6); dotyczy dystrybucji opartych na Linuksie, m.in. Red Hat, SUSE, AlmaLinux, Ubuntu |
Wersje zagrożone | Jądra Linux od 6.0 przed 6.1.177, od 6.2 przed 6.6.144, od 6.7 przed 6.12.95, od 6.13 przed 6.18.38, od 6.19 przed 7.1.3 (NVD). Dystrybucje: RHEL 10 i AlmaLinux 10 bez poprawki; Ubuntu 24.04 LTS oznaczony przez Ubuntu jako podatny (stan na 15 września 2026). Napastnik musi móc uruchomić program na serwerze, np. w kontenerze |
Wersje bezpieczne | Jądra 6.1.177, 6.6.144, 6.12.95, 6.18.38, 7.1.3, 7.2 lub nowsze. RHEL 10: kernel-6.12.0-211.30.1.el10_2 (RHSA-2026:34911) lub nowszy; AlmaLinux 10: kernel-6.12.0-211.29.1.el10_2 lub nowszy; Ubuntu 26.04 LTS: 7.0.0-31.31; SUSE: biuletyny od 6 lipca 2026. Niepodatne wg producentów: RHEL 6 do 9, AlmaLinux 8 i 9, Ubuntu 22.04 i starsze, OpenShift |
Typ podatności | Zapis poza granicami bufora w pamięci jądra prowadzący do podniesienia uprawnień i ucieczki z kontenera; CWE-787 (NVD), CWE-122 (CISA), CWE-130 (Red Hat) |
Ocena CVSS | 7.8 WYSOKA (CVSS 3.1: CNA jądra Linux, Red Hat, Ubuntu), wektor lokalny. SUSE: 8.5 (CVSS 3.1) i 9.0 (CVSS 4.0), z wektorem sieciowym. Red Hat: waga Important |
💡 Rozbieżność w ocenach: CNA jądra Linux wprost uzasadnia, że pakiety przychodzące z sieci nie trafiają do podatnego kodu i zdalny napastnik nie wywoła błędu bezpośrednio. SUSE ocenia lukę wyżej jako sieciową. Na potrzeby decyzji przyjmij, że napastnik musi najpierw mieć możliwość uruchomienia kodu na serwerze.
Wyobraź sobie port przeładunkowy, w którym każdy klient dostaje własny zamknięty kontener i nie ma wstępu na plac. Okazuje się, że jeden z mechanizmów dźwigu źle liczy wymiary ładunku. Sprytny klient pakuje towar tak, że dźwig przy przenoszeniu wyrywa ścianę kontenera, a klient wychodzi na plac z kluczami do biura kapitanatu.
Tak działa ta luka. Kontenery i konta użytkowników mają oddzielać od siebie aplikacje i ograniczać ich uprawnienia. Błąd w jądrze, czyli w samym „dźwigu”, pozwala programowi uruchomionemu w kontenerze lub na zwykłym koncie zdobyć pełną władzę nad całym serwerem, a więc także nad wszystkimi innymi kontenerami i danymi.
💡 Jądro systemu to rdzeń Linuksa, który zarządza pamięcią, siecią i uprawnieniami. Kontener to wydzielone środowisko dla aplikacji, dzielące jądro z serwerem gospodarza. Ucieczka z kontenera to wyjście z tego środowiska na serwer gospodarza. SELinux to dodatkowa warstwa kontroli uprawnień w systemach Red Hat. Przestrzenie nazw użytkownika to mechanizm, dzięki któremu zwykły użytkownik może tworzyć odizolowane środowiska, np. kontenery bez uprawnień root.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Przejęta aplikacja w kontenerze | Szkoda ograniczona do jednego kontenera | Napastnik może przejąć serwer gospodarza |
Pozostałe kontenery na serwerze | Odizolowane od siebie | Dostępne dla napastnika z uprawnieniami root |
Zwykłe konto użytkownika | Ograniczone uprawnienia | Może zdobyć uprawnienia root |
Zabezpieczenia SELinux | Blokują niedozwolone działania | Według Red Hat można je obejść |
Aktualizacja jądra | Wymaga ponownego uruchomienia | Bez restartu serwer dalej działa na podatnym jądrze |
źródło: magnific.comPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Luka nie daje wejścia z internetu: napastnik musi najpierw uruchomić kod na serwerze, na przykład przez lukę w aplikacji działającej w kontenerze lub przez przejęte konto.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Wejście | T+0 | Przejęcie aplikacji w kontenerze lub konta na serwerze przez inną lukę albo wykradzione hasło | Możliwość uruchomienia programu |
2. Rozpoznanie | T+minuty | Sprawdzenie wersji jądra i konfiguracji systemu | Wybór gotowego exploita |
3. Podniesienie uprawnień | T+minuty | Wykorzystanie błędu w jądrze | Uprawnienia root, wyjście z kontenera |
4. Przejęcie serwera | T+godziny | Dostęp do wszystkich kontenerów, danych i kluczy na serwerze | Pełna kontrola nad serwerem |
5. Rozszerzenie ataku | T+dni | Wykorzystanie kluczy i haseł do ataku na kolejne systemy | Włamanie do innych części infrastruktury |
Mogę Ci jakoś pomóc?
Kontenery są dziś podstawą wielu systemów, od sklepów internetowych po systemy wewnętrzne. Firmy często traktują kontener jako granicę bezpieczeństwa. Ta luka tę granicę likwiduje. Jest publiczny kod, są potwierdzone ataki, a naprawa wymaga nie tylko aktualizacji, ale i ponownego uruchomienia serwerów, co bywa odkładane.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Odtwarzanie przejętych serwerów i wszystkich działających na nich usług | Dni | 30 tys. do 300 tys. PLN (przestój, odtworzenie) |
Bezpieczeństwo danych | Kradzież danych z wielu aplikacji i kluczy dostępowych naraz | Godziny do dni | 50 tys. do 300 tys. PLN (analiza powłamaniowa) |
Finansowy | Koszty specjalistów, wymiana kluczy i certyfikatów, utracona sprzedaż | Tygodnie | 100 tys. do 800 tys. PLN łącznie |
Reputacyjny | Utrata zaufania klientów, szczególnie gdy wyciek dotyczy danych wielu klientów | Miesiące | 50 tys. do 400 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin i ewentualnie powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 20 tys. do 120 tys. PLN (obsługa prawna), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla serwerów Linux z podatnym jądrem
(najwyższe dla serwerów z kontenerami)
Wpływ
5 | . . . . .
4 | . . . ■ . ← WYSOKIE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: prawdopodobieństwo jest wysokie, bo istnieje publiczny kod, a CISA potwierdza ataki; wpływ jest wysoki, a nie maksymalny, bo napastnik potrzebuje wcześniejszej możliwości uruchomienia kodu na serwerze.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Spisać serwery Linux z wersjami jądra, zaczynając od serwerów z kontenerami i dostępnych z internetu | Dziś | Administrator |
2 | 🔴 NATYCHMIAST | Zainstalować poprawione jądro z repozytorium dystrybucji (RHEL 10, AlmaLinux 10, SUSE, Ubuntu 26.04) | Dziś | Administrator |
3 | 🔴 NATYCHMIAST | Uruchomić ponownie serwery po aktualizacji i potwierdzić wersję działającego jądra | Dziś | Administrator |
4 | 🟠 PILNIE | Dla systemów bez poprawki (np. Ubuntu 24.04 wg stanu z 15 września) rozważyć obejście producenta i śledzić wydanie poprawki | Do 3 dni | Administrator |
5 | 🟠 PILNIE | Sprawdzić serwery z kontenerami pod kątem śladów włamania od końca czerwca 2026 | Do 7 dni | Zespół bezpieczeństwa |
6 | 🟠 PILNIE | Sprawdzić urządzenia i obrazy chmurowe z Linuksem, których nie aktualizuje się automatycznie | Do 7 dni | Kierownik IT |
7 | 🟡 WAŻNIE | Wprowadzić zasadę, że aktualizacje jądra obejmują zaplanowany restart | Do 30 dni | Kierownik IT |
Poprawki wydali m.in. Red Hat, AlmaLinux, SUSE i Ubuntu dla części wydań. Red Hat podaje obejście: wyłączenie nieuprzywilejowanych przestrzeni nazw użytkownika, bo atak wymaga możliwości ich tworzenia. Producent ostrzega, że psuje to m.in. kontenery Podman uruchamiane bez uprawnień root i niektóre piaskownice aplikacji. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Wyłączenie nieuprzywilejowanych przestrzeni nazw użytkownika (obejście Red Hat) | Wysoka, ale nie usuwa błędu | Łatwa technicznie, może zepsuć część aplikacji |
Przeniesienie kontenerów niezaufanych klientów lub kodu na zaktualizowane serwery | Wysoka | Średnia |
Ograniczenie, kto może uruchamiać kod i kontenery na serwerach | Średnia | Średnia |
Poprawka jądra na żywo (np. kpatch w RHEL 10), jeśli restart jest niemożliwy | Wysoka | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Kontener jako granica bezpieczeństwa | Możliwa ucieczka na serwer gospodarza | Izolacja przywrócona |
Działające jądro | Podatne, mimo zainstalowanej aktualizacji | Poprawione i potwierdzone po restarcie |
Wiedza o wersjach jądra | Rozproszona | Jeden spis serwerów z wersjami |
Procedura restartów | Odkładane w nieskończoność | Zaplanowane okna serwisowe |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA); CISA wymaga triażu śledczego |
Grupy przestępcze | Brak publicznych informacji |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 7.8 WYSOKA (CVSS 3.1: CNA jądra Linux, Red Hat, Ubuntu); SUSE: 8.5 (CVSS 3.1) i 9.0 (CVSS 4.0) |
PoC dostępny publicznie? | TAK: kod „ipv6_frag_escape” w serwisie GitHub od 28 czerwca 2026 roku, opisany przez autora jako niezawodna ucieczka z kontenera; AlmaLinux określa go jako celowo niekompletny |
Liczba atakowanych firm | Brak publicznych informacji |
Kto wykrył błąd | Według AlmaLinux badacz Massimiliano Oldani w programie Google kCTF |
Szczególnym problemem był sposób ujawnienia. Według AlmaLinux poprawka trafiła do jądra bez skoordynowanego nadania numeru CVE, więc publiczna łatka i kod PoC wyprzedziły formalne ogłoszenie luki.
Mogę Ci jakoś pomóc?
Kto jest podatny wg producentów
RHEL 10 / AlmaLinux 10 ████████████████████ podatne, poprawki wydane
SUSE (wybrane wydania) ████████████████████ poprawki od 6 lipca 2026
Ubuntu 26.04 LTS ████████████████████ poprawione (7.0.0-31.31)
Ubuntu 24.04 LTS ████████████████████ podatne, brak poprawki (15.09)
RHEL 6-9 / AlmaLinux 8-9 ░░░░░░░░░░░░░░░░░░░░ niepodatne
Ubuntu 22.04 i starsze ░░░░░░░░░░░░░░░░░░░░ niepodatne 2026-06-09 Rezerwacja numeru CVE-2026-53362
2026-06-21 Data upublicznienia luki wg Red Hat
2026-06-28 Publikacja kodu PoC „ipv6_frag_escape” na GitHub
2026-06-30 AlmaLinux wydaje poprawione jądro dla AlmaLinux 10
2026-07-01 Red Hat publikuje biuletyn RHSB-2026-009
2026-07-02 Red Hat wydaje poprawione jądro RHEL 10 (RHSA-2026:34911)
2026-07-04 Publikacja CVE-2026-53362
2026-07-06 Pierwsze biuletyny SUSE z poprawką
2026-08-27 CISA dodaje lukę do katalogu KEV
2026-08-30 Termin naprawy wg CISA
2026-09-15 Ubuntu 24.04 LTS nadal oznaczony jako podatny
2026-09-17: TUTAJ JESTEŚMY Poprawka w stabilnej gałęzi jądra wskazana przez CISA: git.kernel.org, commit 736b380e . Biuletyn Red Hat z obejściem: RHSB-2026-009 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2026-53362 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Uzyskać listę serwerów Linux z wersjami jądra i informacją o kontenerach | CTO | DZISIAJ |
2 | Zatwierdzić aktualizację jądra i restarty serwerów, także w godzinach pracy dla serwerów krytycznych | CTO | DZISIAJ |
3 | Ustalić, które systemy nie mają jeszcze poprawki i jakie obejście stosujemy | CTO | DO JUTRA |
4 | Zlecić sprawdzenie serwerów z kontenerami pod kątem włamania | CTO | DO JUTRA |
5 | Oszacować koszt ewentualnych nadgodzin i okien serwisowych | CFO | DO JUTRA |
6 | Sprawdzić, czy dostawcy chmury i hostingu potwierdzili aktualizację swoich serwerów | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Ile mamy serwerów Linux z jądrem w wersji 6.0 lub nowszej? | [liczba] | 🔴 |
2 | Czy na tych serwerach działają kontenery lub kod z zewnątrz? | TAK / NIE | 🔴 |
3 | Jaka wersja jądra faktycznie działa po ostatnim restarcie? | [wersja] | 🔴 |
4 | Kiedy serwery zostały ponownie uruchomione po aktualizacji jądra? | [data] | 🔴 |
5 | Czy mamy systemy, dla których producent nie wydał jeszcze poprawki? | TAK / NIE | 🟠 |
6 | Czy sprawdziliśmy serwery z kontenerami pod kątem śladów włamania? | TAK / NIE | 🟠 |
7 | Czy dostawca chmury lub hostingu potwierdził aktualizację? | TAK / NIE, [data] | 🟡 |
CVE-2026-53362 w jądrze Linux pozwala programowi w kontenerze lub na zwykłym koncie przejąć cały serwer, a CISA potwierdza ataki z użyciem publicznie dostępnego kodu. Poprawki są dostępne dla większości dotkniętych dystrybucji, ale działają dopiero po ponownym uruchomieniu serwera. Aktualizacja i restart serwerów z kontenerami to zadanie na dziś, a dla systemów bez poprawki warto rozważyć obejście zalecane przez Red Hat.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Błąd w logowaniu platformy Kestra OSS pozwala bez hasła tworzyć i uruchamiać przepływy pracy, czyli wykonywać dowolne polecenia jako root. Microsoft opisał włamanie, CISA potwierdza ataki. Zaktualizuj dziś.
Czytaj artykułLuka o ocenie 10.0 w konsoli Cisco Secure Firewall Management Center pozwala ominąć logowanie i przejąć urządzenie. Cisco i CISA potwierdzają ataki. Zaktualizuj FMC i sprawdź ślady włamania.
Czytaj artykułBłąd w bibliotece Starlette, podstawie FastAPI, pozwala omijać zabezpieczenia części aplikacji, a w łańcuchu z luką LiteLLM przejąć bramkę AI. CISA potwierdza ataki. Zaktualizuj do 1.0.1 lub nowszej.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.