Podsumowanie
| Parametr | Wartość |
|---|---|
| CVE ID | CVE-2025-39964 |
| Źródło alertu | CISA KEV - Aktywna eksploatacja |
| Rok publikacji CVE | 2025 |
| Data publikacji | 2026-09-18 |
| Producent | Linux |
| Produkt | jądro systemu |
| CVSS Score | 7.8 (Wysoki) |
| EPSS Score | 0.3% (percentyl: 26%) |
| CISA KEV | Tak - potwierdzona aktywna eksploatacja |
| Ransomware | Nie potwierdzono |
| Termin na reakcję | 2026-09-21 |
Opis podatności
Źródło: CISA KEV
Jądro Linuksa zawiera podatność typu wyścig (race condition) przy równoczesnych zapisach do tego samego gniazda AF_ALG.
Skutkiem jest nieprzewidywalne przeplatanie danych oraz powstawanie niespójności w stanie wewnętrznym gniazda. Innymi słowy: gdy dwa wątki piszą jednocześnie, wynik nie jest ani jednym, ani drugim strumieniem, a struktura opisująca gniazdo przestaje odpowiadać rzeczywistości.
AF_ALG to interfejs, przez który przestrzeń użytkownika korzysta z podsystemu kryptograficznego jądra. Uszkodzenie spójności stanu w tym właśnie miejscu jest niepokojące z dwóch powodów: dotyczy operacji, których poprawność jest założeniem dla warstw wyższych, a wyścigi są z natury trudne do wykrycia testami funkcjonalnymi — objawiają się dopiero pod obciążeniem.
Zasięg wykracza poza serwery. Wpis CPE w bazie NVD obejmuje oprócz linux:linux_kernel również sterowniki Siemens SIMATIC S7-1500 (warianty CPU 1518-4 PN/DP MFP oraz 1518F-4 PN/DP MFP). Organizacje z infrastrukturą przemysłową powinny uwzględnić w przeglądzie także tę warstwę — nie tylko klasyczne systemy IT.
Pozycja figuruje w katalogu CISA KEV jako aktywnie wykorzystywana, a wyznaczony termin reakcji minął 2026-09-21.
Wymagane działania
Zastosuj środki zaradcze zgodnie z instrukcjami producenta, zachowując zgodność z dyrektywą CISA BOD 26-04 („Prioritizing Security Updates Based on Risk”) oraz wytycznymi CISA „Forensics Triage Requirements”. W przypadku usług chmurowych postępuj według właściwych zapisów BOD 26-04, a jeżeli środki zaradcze nie są dostępne — zaprzestań korzystania z produktu.
Ocena ekspozycji każdego zasobu na dostęp z internetu oraz przestrzeganie zasad aktualizacji wynikających z BOD 26-04 pozostają po stronie organizacji.
Kogo dotyczy?
Podatność dotyczy systemów opartych na jądrze Linuksa, a zgodnie z wpisem CPE także sterowników Siemens SIMATIC S7-1500 w wymienionych wariantach MFP.
Ta druga grupa zasługuje na osobne potraktowanie. Sterowniki PLC rzadko trafiają do tych samych procesów zarządzania podatnościami co serwery, mają dłuższe cykle życia i znacznie rzadsze okna serwisowe — aktualizacja bywa możliwa dopiero przy planowym postoju. Jeśli Twoja organizacja ma obszar OT, wypisz podatne sterowniki już teraz i zaplanuj dla nich osobną ścieżkę, a do czasu aktualizacji ogranicz dostęp sieciowy do warstwy sterowania.
Źródła
Potrzebujesz wsparcia w zabezpieczeniu systemów? Zespół nFlo oferuje usługi zarządzania podatnościami oraz SOC 24/7. Skontaktuj się z nami.
