CISA avverte che tre vulnerabilità del kernel Linux risultano sfruttate in attacchi e chiede alle agenzie federali statunitensi di applicare gli aggiornamenti o le mitigazioni disponibili entro la scadenza indicata dall’agenzia. Una delle falle, CVE-2025-39964, sarebbe rimasta nel kernel per 14 anni.
I problemi coinvolgono componenti diverse, dalle socket crittografiche AF_ALG a ebtables e kTLS. CISA non ha però diffuso dettagli sugli incidenti, né ha identificato gli autori delle attività rilevate.
Le tre vulnerabilità segnalate da CISA
Le tre falle sono state aggiunte separatamente al catalogo delle vulnerabilità note come sfruttate di CISA nella scorsa settimana. Le valutazioni di gravità riportate vanno da media a critica, ma per le agenzie federali tutte ricevono la massima priorità operativa.
La più datata è CVE-2025-39964, una race condition nell’interfaccia delle socket crittografiche AF_ALG del kernel. Scritture concorrenti possono corrompere lo stato associato a una socket, con la possibilità di provocare arresti del sistema o modificare i risultati delle operazioni crittografiche.
STAR Labs, società specializzata in offensive security, ha individuato il difetto e afferma che la scoperta non è stata assistita da sistemi di intelligenza artificiale. I ricercatori hanno inoltre dimostrato l’impatto ottenendo un’escalation dei privilegi e l’uscita da un container nell’ambito di Google kernelCTF.
CVE-2026-53266 riguarda invece l’implementazione SNAT di ebtables. Si tratta di una scrittura fuori dai limiti che può far sì che la riscrittura di un indirizzo ARP modifichi memoria condivisa supportata da file, senza rendere prima scrivibile l’intervallo del pacchetto coinvolto.
La terza falla, CVE-2025-39682, interessa il percorso di ricezione TLS nel kernel Linux. La logica gestisce in modo errato record TLS di lunghezza zero messi in coda per un’elaborazione successiva: quando è in uso kTLS, ciò può permettere che record TLS di tipo differente vengano elaborati insieme.
Exploit pubblici e analisi disponibili
Per CVE-2025-39682 sono disponibili exploit pubblici, circostanza confermata anche da Red Hat nel proprio bollettino di sicurezza. Red Hat conferma inoltre la disponibilità di un exploit noto per CVE-2026-53266.
Il ricercatore Kimmo Suominen ha pubblicato su GitHub un’analisi tecnica e un monitoraggio dello stato delle patch per CVE-2026-53266. Il lavoro descrive un possibile percorso di escalation dei privilegi basato sulla modifica di memoria supportata da file, ma precisa un limite importante: la catena ipotizzata deriva da un’analogia con Dirty Pipe e non è stata dimostrata con codice di exploit pubblico.
Non tutte le informazioni sono state rese pubbliche. CISA sostiene che le tre vulnerabilità siano state sfruttate, senza spiegare in quali contesti, con quali tecniche o da parte di quali gruppi. Al momento, nessuna delle tre è indicata come sfruttata da gruppi ransomware.
Perché CISA chiede anche il triage forense
L’agenzia ha contrassegnato tutti e tre i difetti come casi che richiedono triage forense. Per ogni risorsa interessata, le agenzie federali devono quindi verificare anche eventuali segnali di compromissione già avvenuta, oltre a distribuire correzioni e mitigazioni.
È un passaggio che distingue questa segnalazione da un normale avviso di patching: l’aggiornamento resta necessario, ma non basta a rispondere a un’eventuale intrusione precedente. L’ordine di CISA è rivolto alle agenzie federali degli Stati Uniti; il fatto che i difetti siano nel kernel Linux e che l’agenzia ne segnali lo sfruttamento rende comunque rilevante la verifica dello stato delle patch anche per altre organizzazioni che usano sistemi potenzialmente interessati.
FAQ
Quali CVE sono coinvolte?
L’avviso riguarda CVE-2025-39964, CVE-2026-53266 e CVE-2025-39682. Interessano rispettivamente AF_ALG, l’implementazione SNAT di ebtables e il percorso di ricezione TLS quando è in uso kTLS.
CISA ha rivelato chi sta sfruttando le falle?
No. L’agenzia conferma lo sfruttamento negli attacchi, ma non ha pubblicato dettagli sugli incidenti né sull’identità degli attori coinvolti.
Le vulnerabilità sono collegate a ransomware?
Al momento nessuna delle tre falle risulta segnalata come sfruttata da gruppi ransomware.
Che cosa significa triage forense in questo caso?
Significa esaminare ciascun asset potenzialmente vulnerabile alla ricerca di indizi che l’exploit sia già stato usato, non limitarsi ad applicare aggiornamenti o mitigazioni.
Considerazioni finali
La parte più significativa dell’avviso non è soltanto la presenza di exploit pubblici per due difetti, ma la richiesta di verificare possibili compromissioni già avvenute. Quando un’agenzia come CISA abbina il patching al triage forense, il messaggio operativo è più preciso: correggere il software non cancella automaticamente le tracce di un eventuale attacco.
Resta corretto non attribuire scenari più estesi di quelli documentati, visto che mancano dettagli sulle campagne osservate. Il punto decisivo è però già concreto: CISA considera tutte e tre le vulnerabilità attivamente sfruttate e richiede sia mitigazioni sia controlli sugli asset interessati.