CVE-2026-46331: дыра в Linux-ядре, публичный эксплойт, и почти все серверы уязвимы

Когда в Linux-ядре появляется публичный privilege escalation эксплойт это не «интересный баг». Это «у вас есть 24 часа, после которых ваши серверы не ваши». CVE-2026-46331, «pedit COW» именно такой случай.

Техника: понятно и без PhD
В Linux-ядре есть подсистема traffic control она управляет приоритетами сетевых пакетов. В одной из её функций (tcf_pedit_act) есть баг: она вычисляет диапазон для copy-on-write до того, как определяет реальный runtime-offset заголовка.

Результат: непривилегированный локальный пользователь может загрязнить общий page cache ядра и получить root-доступ то есть полный контроль над системой.

Затронуты Linux-ядра от версии 2.6 до 7.1 включительно. Публичный PoC-эксплойт появился через 24 часа после присвоения CVE 16 июня. Red Hat подтвердил уязвимость в RHEL 8, 9, 10 и OpenShift.

Почему это критично в 2026
Большинство корпоративных серверов, облачных VM и контейнерных хостов работают на Linux. «Локальный» эксплойт звучит безопасно но «локальный» в контексте облака означает: любой скомпрометированный контейнер может вырваться на уровень хоста.

Аналогия
Вы думаете, что заперли арендатора в его квартире. Но в стене его квартиры есть трещина, через которую он может вылезти в подвал, найти там главный щиток и отключить электричество всему дому. «Локальный доступ» не означает «безопасный».

Что делать прямо сейчас
Технические специалисты:
· Немедленно применить патч ядра (commit 899ee91156e57784090c5565e4f31bd7dbffbc5a)
· Временный митигейшн: echo "blacklist act_pedit" > /etc/modprobe.d/blacklist-act-pedit.conf
· Проверить загрузку модуля: lsmod | grep act_pedit
· Приоритет: облачные VM и контейнерные хосты, где запускается ненадёжный код

Бизнесу/CEO: Спросите у DevOps/Infra: «Мы применили патч CVE-2026-46331 на всех Linux-серверах и контейнерных хостах?» Если ответ «работаем над этим» это значит «нет». Установите дедлайн 48 часов.

Мой взгляд

То, что публичный эксплойт появился через 24 часа после CVE это новая норма. Attackers намного быстрее, чем патч-циклы большинства организаций. Если у вас нет процесса экстренного патчинга критических ядерных уязвимостей вы всегда будете на шаг позади. Прогноз: в ближайшие недели CVE-2026-46331 войдёт в инструментарий как минимум нескольких ransomware-операторов для lateral movement в корпоративных средах.

Автор: Беляев Дмитрий

〰️〰️〰️
📝 Связаться с Дмитрием
〰️〰️〰️
👆👆👆👆👆

✔️ Подпишись на канал 🔥
🕒 [Ранний доступ к подкастам] 🔥
▶️ [Чат]
🛒 [Все проекты] 🔥
🟡 [Менторство] 🔥
⚡️ [Буст BS]
🤔 [Стикеры]

🔜🔜🔜
💥 Почему нужно попасть на проект [Belyaev_Security]💥



#Linux #CVE #привилегии #кибербезопасность #patching

Cisco SD-WAN: три разные уязвимости за четыре месяца в одном и том же компоненте

Один компонент. Три критических CVE. Четыре месяца. Два независимых исследовательских центра нашли дыры независимо друг от друга.
Это не баг. Это архитектурная проблема.

Хронология
· Февраль 2026: CVE-2026-20182 CVSS 10.0, authentication bypass. Активная эксплуатация
· Май 2026: CVE-2026-20127 CVSS 10.0, authentication bypass в peering handshake. Нашли Rapid7
· Июнь 2026: CVE-2026-20245 command injection, escalation до root. Нашёл Mandiant (Google Cloud)
Последняя уязвимость, CVE-2026-20245: атакующий загружает crafted-файл, получает root на SD-WAN Manager, и может пушить вредоносные конфигурации на edge-устройства по всей сети. Это означает: контроль над всей корпоративной сетью.

Эксплуатация началась ещё до того, как Cisco узнала о баге Mandiant зафиксировал активность с апреля. CISA KEV deadline для федеральных агентств США 23 июня. Патча на момент предупреждения не было.

Аналогия
SD-WAN Manager это диспетчерская вашей сети. Если хакер получил root там он может перепрограммировать светофоры на всех перекрёстках одновременно. Три раза за четыре месяца обнаружить, что дверь в диспетчерскую была открыта это не невезение. Это конструктивный дефект здания.

Рекомендации
Пользователям: Если вы используете корпоративный VPN или SD-WAN спросите у своего IT-отдела, применены ли патчи по уязвимостям Cisco. Это нормальный вопрос.

Бизнесу/CEO:
· Потребуйте от команды статус по трём CVE Cisco SD-WAN
· Проверьте конфигурации edge-устройств на несанкционированные изменения (логи /var/log/scripts.log)
· Если используете SD-WAN for Government (FedRAMP) это тоже затронуто
· Оцените, стоит ли дополнительная сегментация управляющей плоскости

Мой взгляд
Три дыры в одном месте это сигнал не просто «патчиться», а пересматривать архитектурные решения. Если два топовых исследовательских центра нашли уязвимости в одном компоненте независимо, значит, там ещё что-то есть просто пока не найдено публично. Мой совет: рассматривайте SD-WAN Management Plane как высококритичный периметр и изолируйте его максимально. Прогноз: продолжение сериала «Cisco SD-WAN CVE-2026» в следующих выпусках неизбежно.

Автор: Беляев Дмитрий

〰️〰️〰️
📝 Связаться с Дмитрием
〰️〰️〰️
👆👆👆👆👆

✔️ Подпишись на канал 🔥
🕒 [Ранний доступ к подкастам] 🔥
▶️ [Чат]
🛒 [Все проекты] 🔥
🟡 [Менторство] 🔥
⚡️ [Буст BS]
🤔 [Стикеры]

🔜🔜🔜
💥 Почему нужно попасть на проект [Belyaev_Security]💥


#Cisco #SDWAN #zeroday #CVE #NetworkSecurity