На этой неделе исследователи раскрыли две серьёзные уязвимости в ядре Linux. Первая, SCTPhantom (CVE-2026-64564), просидела в ядре незамеченной 18 лет и позволяет обычному пользователю получить root и вырваться из контейнера. Вторая, Zapscape (CVE-2026-64561), позволяет арендатору виртуальной машины захватить физический хост-сервер. Патчи для обеих выпущены в апстрим, дистрибутивы обновляются.

SCTPhantom: 18-летняя уязвимость даёт root и побег из контейнера

Уязвимость обнаружена командой Tencent Zhuque Lab в реализации сетевого протокола SCTP (Stream Control Transmission Protocol). SCTP — это альтернатива TCP, которая умеет поддерживать несколько сетевых путей одновременно. Он используется в телекоме, некоторых базах данных и специализированных сетевых конфигурациях, но в большинстве обычных серверов не задействован.

Ошибка существует с декабря 2007 года — с версии ядра Linux 2.6.25. Локальный пользователь без каких-либо привилегий может воспользоваться уязвимостью, чтобы получить root-права на сервере. В контейнерных средах (Docker, Kubernetes) это также позволяет вырваться из контейнера и получить root на хост-системе.

Тесты Tencent подтвердили успешную эксплуатацию на Debian 13, Ubuntu 24.04, Rocky Linux 9, RHEL 9 и OpenCloudOS. CVSS v4.0: 8.5 (высокий уровень). Публичного эксплоита на момент раскрытия не было.

Хорошая новость: SCTP в большинстве серверов не используется и не загружается автоматически. Если вы не настраивали SCTP специально, уязвимость, скорее всего, вас не касается. Проверить просто: lsmod | grep sctp — если вывод пустой, модуль не загружен.

Временная мера — заблокировать загрузку модуля:

echo "install sctp /bin/false" > /etc/modprobe.d/block-sctp.conf

Патч включён в ядра 6.6.148, 6.12.101, 6.18.42 и 7.1.6.

Zapscape: побег из виртуальной машины на хост через KVM

Уязвимость нашёл Хёнву Ким (@v4bel) — тот же исследователь, что ранее раскрыл Dirty Frag и Januscape. Zapscape находится в гипервизоре KVM — том же компоненте ядра Linux, который использует Januscape, но в другом месте. Уязвимый код появился в ядре в июле 2020 года.

Принцип атаки: арендатор с root-правами внутри своей виртуальной машины может вырваться за её пределы и получить root на физическом сервере, где эта ВМ работает. Это означает доступ ко всем другим виртуальным машинам на том же хосте и ко всем их данным.

Есть и второй сценарий атаки — без виртуальной машины вовсе. На серверах, где доступ к /dev/kvm открыт для всех пользователей (это типично для некоторых дистрибутивов по умолчанию), обычный пользователь может сам создать временную VM через KVM API и атаковать хост изнутри неё.

Уязвимость работает на серверах с процессорами Intel и AMD. Публичный PoC опубликован на GitHub — он создаёт файл на хосте от имени root, тем самым демонстрируя выход за пределы ВМ. Готового «боевого» эксплоита нет, но исследователь предупреждает, что адаптация к реальным условиям не потребует больших усилий. CVSS 3.1: 7.0 (важный уровень).

Временная мера — отключить вложенную виртуализацию. Для Intel:

echo "options kvm_intel nested=0" > /etc/modprobe.d/zapscape.conf
rmmod kvm_intel && modprobe kvm_intel

Для AMD:

echo "options kvm_amd nested=0" > /etc/modprobe.d/zapscape.conf
rmmod kvm_amd && modprobe kvm_amd

Также рекомендуется проверить права на /dev/kvm — если он доступен всем пользователям, ограничьте доступ: chmod 660 /dev/kvm. Патч включён в ядра начиная с коммита 2abd5287f083 от 21 июля 2026 года.

Общий контекст

Обе уязвимости — часть заметной тенденции этого года: активного аудита низкоуровневых компонентов ядра Linux с помощью ИИ-инструментов. SCTPhantom нашла Corvus AI — инструмент Tencent на основе ИИ. Januscape и Zapscape — Хёнву Ким, который также использовал автоматизированный анализ. Dirty Frag в мае — та же история.

Это означает, что старые, давно не аудировавшиеся части ядра — нестандартные сетевые протоколы, специфические подсистемы виртуализации — становятся основной мишенью. Стоит ожидать продолжения подобных находок.

Безопасность
← Ко всем новостям