🐧 Linux: Bad Epoll — новый LPE из 2026-го, патч вышел 2 июля. Обновляемся.

Коллеги, добрый понедельник и добро пожаловать во второе полугодие. Начинаем не с отдыха — с нового LPE.

CVE-2026-46242 «Bad Epoll» — очередной локальный побег в root, опубликованный на прошлой неделе. Уязвимость затрагивает Linux-десктопы, серверы и Android-устройства, патч доступен. Параллельно Greg Kroah-Hartman анонсировал стабильные ядра 7.1.3, 6.18.38, 6.12.95, 6.6.144, 6.1.177, 5.15.211 и 5.10.260, включающие фикс для уязвимости в IPv6 (CVE-2026-53362), позволявшей атакующему выбраться из контейнера и получить root, и use-after-free в KVM (CVE-2026-53359), появившегося ещё в ядре 2.6.36.

Это уже восьмой по счёту публичный LPE в ядре Linux с начала года.

# Проверяем версию ядра — нужны 7.1.3 / 6.18.38 / 6.12.95+:
uname -r

# Обновляем немедленно:
apt update && apt full-upgrade -y && reboot   # Ubuntu/Debian
dnf update kernel -y && reboot               # RHEL/Rocky/AlmaLinux

# Дополнительно: CVE-2026-53362 — IPv6 container escape
# Если используете cgroups v1 (более старые среды):
cat /sys/fs/cgroup/cgroup.controllers 2>/dev/null
# Пусто = cgroups v2 (безопаснее), если есть вывод — v1 активен

# Проверяем есть ли cgroups v1 в контейнерных средах:
cat /proc/1/cgroup | head -5

# CISA также добавила CVE-2022-0492 в KEV:
# cgroup_release_agent_write() — container escape через cgroups v1
# Затрагивает ядра 2.6 - 4.20 и 5.5 - 5.17
# Если у тебя в контейнерах cgroups v1 — это активный вектор

# Принудительный переход на cgroups v2 (ломает часть legacy):
# В /etc/default/grub добавить в GRUB_CMDLINE_LINUX:
# systemd.unified_cgroup_hierarchy=1
# update-grub && reboot

# Неделя 27 — также критичные обновления для glibc и nginx:
apt-get install --only-upgrade nginx glibc-source libglib2.0-0 2>/dev/null
dnf update glibc nginx -y 2>/dev/null

Администраторам следует приоритизировать применение обновлений ядра и glibc немедленно, так как эти компоненты лежат в основе большинства затронутых сервисов на всех дистрибутивах.

Итог: восемь LPE за полгода — это новая реальность. Автоматизированный patch pipeline это уже не nice-to-have, это гигиена. Обновляем ядро и glibc сегодня.

#linux #kernel #cve #badepoll #lpe #security #sysadmin #admin_future