🐧 Linux: Май 2026 закрыт — финальный чеклист по ядру для тех кто ещё не всё сделал

Коллеги, четверг 21 мая — подводим итог самому насыщенному security-месяцу в Linux за несколько лет. Шесть уязвимостей, все патчи вышли, но статистика показывает: большая часть флотов ещё не обновлена.

Это четвёртая уязвимость ядра Linux требующая внимания администраторов за три недели, после Copy Fail (29 апреля), Dirty Frag (7 мая) и Fragnesia (13 мая). Если вы не хотите экстренно патчить и перезагружать несколько раз в месяц — это сигнал выстроить систему.

Финальный чеклист на сегодня:

# ШАГ 1: Проверяем версию ядра — все патчи закрыты начиная с:
# 7.0.8 / 6.18.31 / 6.12.89 / 6.6.139 / 6.1.173 / 5.15.207 / 5.10.256
uname -r

# ШАГ 2: Если ядро не обновлено — ставим немедленно
# Ubuntu/Debian:
apt update && apt full-upgrade -y

# RHEL/Rocky/AlmaLinux:
dnf update kernel -y

# ШАГ 3: Mitigation-файл — закрывает все page-cache CVE даже без патча
cat /etc/modprobe.d/may2026-kernel-lpe.conf 2>/dev/null || \
printf "install algif_aead /bin/false\ninstall esp4 /bin/false\n\
install esp6 /bin/false\ninstall rxrpc /bin/false\n" | \
tee /etc/modprobe.d/may2026-kernel-lpe.conf

# ШАГ 4: ptrace_scope — закрывает CVE-2026-46333 (чтение SSH-ключей)
sysctl kernel.yama.ptrace_scope
# Если 0 — ставим минимум 1:
echo "kernel.yama.ptrace_scope = 1" >> /etc/sysctl.d/99-ptrace.conf
sysctl -p /etc/sysctl.d/99-ptrace.conf

# ШАГ 5: ModuleJail — системное решение для флота
# После патча и перезагрузки — автоматически блокирует ВСЕ
# неиспользуемые модули, не только эти шесть:
# github.com/jnuyens/modulejail
sudo sh modulejail -p conservative

# ШАГ 6: Проверяем что drop_caches сброшен на хостах
# где могла быть эксплуатация (критично для Fragnesia):
echo 1 | tee /proc/sys/vm/drop_caches

Один архитектурный вывод из мая: AI-assisted code analysis нашёл несколько уязвимостей в одной и той же поверхности атаки за три недели. Вопрос для 2026 года — не будут ли продолжаться kernel-эксплойты, а будет ли ваша инфраструктура защищена когда они появятся.

Итог: патч + перезагрузка + mitigation-файл + ptrace_scope. Четыре пункта. Если не сделано — сделай прямо сейчас, это последний четверг мая.

#linux #kernel #security #patch #sysadmin #admin_future

🐧 Linux: 400+ уязвимостей ядра за 24 часа — это не апокалипсис, это AI-аудит

Коллеги, с Днём системного администратора! Сегодня праздник — но разбор горячей новости всё равно будет.

19-20 июля произошло кое-что беспрецедентное: Linux-сообщество закрыло более 400 уязвимостей ядра за 24 часа, затронув XFS, Btrfs, Netfilter, Bluetooth, KVM, NVMe, CIFS/SMB, Wi-Fi, IOMMU, DMA, RDMA и десятки сетевых драйверов. Среди них use-after-free, out-of-bounds, NULL-pointer dereferences, race conditions и improper input validation.

Это не паника. Это результат работы AI-assisted vulnerability scanning в промышленном масштабе. Торвальдс прокомментировал это прямо: ядро не является анти-AI проектом, AI — это инструмент, задача сообщества — улучшать инструменты, а не отвергать их.

Что это означает для нас как администраторов:

Снимок недели 30: glibc, ядро Linux, WebKitGTK, glib2, libtiff — всё получило критические фиксы. Apache httpd, nginx, .NET 8-10, Node.js 22, Python 3.14 — все патчатся. Отдельно стоит CVE-2026-8933 в snap-confine на Ubuntu — race condition в sandbox initialization, root code execution.

# ФИНАЛЬНЫЙ ПАТЧ-РЕЙД ИЮЛЯ — всё сразу:

# Ubuntu/Debian — максимально агрессивное обновление:
apt update && apt full-upgrade -y
# Проверяем что ядро обновилось:
uname -r
# После reboot — должна быть 7.1.4+ (вышла 23 июля):
# Linux Kernel 7.1.4 Released with Bug Fixes, Security Updates

# RHEL/Rocky/AlmaLinux — включая real-time kernel:
dnf update -y
dnf update kernel kernel-rt -y  # если используется RT-ядро

# Snap + Ubuntu — CVE-2026-8933 snap-confine:
snap refresh core
snap version

# Python 3.14 на продакшн-серверах:
python3 --version
apt install python3 --only-upgrade  # Ubuntu
dnf update python3 -y              # RHEL/Rocky

# glibc — патчится при full-upgrade, но требует reboot:
ldd --version
# Убеждаемся что взяли обновлённую версию после перезагрузки

# Audit July итог — сколько пакетов обновилось:
grep "2026-07" /var/log/dpkg.log | grep "install\|upgrade" | wc -l

Один честный тезис про 400+ CVE за сутки: это не страшнее чем 1 critical CVE с публичным PoC. Большинство из 400 — это fixes для corner cases в редко используемых драйверах без известной эксплуатации. Более сложная задача — определить какие обновления несут наибольший операционный риск. EPSS + CISA KEV — единственный рабочий фильтр.

Итог: 7.1.4 вышла 23 июля, патчи июля закрыли всё что накопилось. С Днём администратора — обнови ядро и иди отдыхать.

#linux #kernel #security #patch #sysadmin #admin_future