CVE-2025-39682: ошибка памяти в kTLS ядра Linux. Затронут ли ваш сервер?

CVE-2025-39682 — ошибка работы с памятью в kTLS, части ядра Linux, которая умеет брать на себя расшифровку TLS. Затронуты ядра Linux 6.0 и новее, а также Red Hat Enterprise Linux, AlmaLinux и Rocky Linux 9 и 10, куда этот код перенесли. Исправления вышли в августе–сентябре 2025 г. Спустя год, 18 сентября 2026 г., CISA внесла уязвимость в каталог эксплуатируемых (CISA).

Что нужно сделать: перезагрузить сервер в исправленное ядро вашего дистрибутива. Главное здесь — перезагрузка. Если пакет ядра обновили ещё в прошлом году, а сервер с тех пор не перезагружали, работает старое ядро. Для удалённой атаки на сервере должно быть приложение, которое использует kTLS. На большинстве серверов его нет, но проверить это можно за минуту командами ниже.

Откуда взялась ошибка

Когда вы открываете сайт по HTTPS, трафик шифруется TLS, и обычно его расшифровывает сам веб-сервер, например nginx. kTLS (kernel TLS) передаёт часть этой работы ядру Linux: данные расшифровываются и доставляются, минуя лишний проход через приложение. Это функция для ускорения.

Данные TLS приходят порциями — записями. У каждой записи есть тип: полезные данные или служебное сообщение, управляющее соединением. За одно чтение ядро обрабатывает либо только записи с данными, либо одну служебную запись. Если тип меняется, ядро останавливается и откладывает оставшуюся запись в очередь. Быстрый путь открыт только для записей с данными.

Как следует из исправления в ядре, упустили один случай: пустую запись в начале этой очереди. Запись нулевой длины проскакивала проверку типа, и следующая запись другого типа всё равно уходила на быстрый путь. Работая с ней на неверных допущениях, ядро могло повредить собственную память (CWE-754, отсутствие проверки нештатных условий).

Представьте сортировочную ленту на почте: за раз она пропускает либо пачку обычных писем, либо одно заказное, а при смене типа останавливается. Но если первый конверт на ленте пустой, сортировщик забывает посмотреть на тип, и заказное письмо уезжает по быстрой линии для обычных.

Какие серверы под угрозой

Оценки опасности расходятся. NVD ставит 9,8 из 10: атака по сети, без прав, без сложностей. Red Hat оценивает уязвимость в своих продуктах на 7,0 и считает эксплуатацию сложной; в её описании сказано, что удалённо ошибку можно вызвать, только если используется kernel TLS. Подробностей об атаках CISA не опубликовала: кто, против кого и как — неизвестно.

Поэтому оценивайте риск по трём условиям:

1. Ядро в затронутом диапазоне? Linux 6.0 и новее, а также RHEL, AlmaLinux и Rocky Linux 9 и 10. RHEL 6, 7 и 8 не затронуты.
2. На сервере есть приложение с kTLS? Например, nginx, в котором kTLS включён явно, или NFS поверх TLS (tlshd). Без такой настройки большинство установок kTLS не используют.
3. Могут ли на сервере запускать код посторонние? Виртуальный хостинг, контейнерные платформы, серверы сборки (CI). По данным TuxCare, опубликован исследовательский код, который на тестовой цели конкурса Google по безопасности ядра превращает обычного пользователя в root; TuxCare уточняет, что на рабочих ядрах RHEL он в таком виде не срабатывает.

Вероятность эксплуатации (EPSS) выглядит низкой: 2 % (FIRST, 24 сентября 2026 г.). Но до включения в каталог CISA она была 0,1 %, то есть за неделю выросла больше чем в 15 раз, и сейчас выше, чем у 86 % всех записей.

Затронут ли ваш сервер

Откройте терминал на сервере и проверьте три вещи:

• Работающее ядро: uname -r. Сравните с таблицей ниже; в семействе RHEL безопасна версия 5.14.0-570.49.1.el9_6 и новее.
• Ожидающая перезагрузка: в Debian и Ubuntu файл /var/run/reboot-required означает, что новое ядро установлено, но не запущено. В семействе RHEL то же покажет needs-restarting -r.
• Использование kTLS: если lsmod | grep -w tls ничего не выводит, модуль TLS ядра не загружен. Если загружен, значения TlsCurrRxSw и TlsCurrRxDevice в cat /proc/net/tls_stat показывают, сколько соединений расшифровывается через kTLS прямо сейчас.

На виртуальном хостинге доступа к консоли может не быть. Спросите провайдера, перезагружен ли ваш сервер в ядро с исправлением CVE-2025-39682, — на этот вопрос он обязан уметь ответить.

Если один раз записать ПО сервера и его версии в бесплатной учётной записи Noroxi, уведомление придёт, когда новая уязвимость затронет именно вашу версию — будь то ядро Linux или любая другая программа из списка (как работают уведомления). Эта история показывает, зачем это нужно: запись годичной давности за ночь попала в список эксплуатируемых. Без учётной записи можно подписаться на письмо по понедельникам с уязвимостями, которые атаковали за неделю. Агентствам и ИТ-подрядчикам, которые обслуживают серверы клиентов: Noroxi для агентств.

Что делать

1. Установить исправленное ядро и перезагрузиться

Обновите ядро штатными средствами дистрибутива (apt upgrade, dnf upgrade) и перезагрузите сервер. Затем проверьте через uname -r, что работает новое ядро.

Если вы собираете ядро сами, версии по веткам — в таблице в конце статьи.

Перезагрузиться нельзя? Сервисы «живых» патчей уже выпустили исправления: SUSE для Linux Enterprise 15 SP6 и SP7, KernelCare для EL9 и EL10. Если пользуетесь таким сервисом, проверьте его собственной командой, что патч действительно применён к работающему ядру.

2. Если исправить сразу нельзя

Если вы включали kTLS сознательно, отключите его в приложении: расшифровка вернётся в пространство пользователя, процессор будет нагружен чуть сильнее (TuxCare). Red Hat предлагает запретить загрузку модуля ядра tls (Red Hat). Обе меры временные, решение — исправленное ядро.

3. Что потом

Атаки на ядро редко оставляют понятные следы в журналах. Если на сервере, где код могут запускать посторонние, были необъяснимые сбои ядра (строки «BUG» и «Oops» в journalctl -k или dmesg), подумайте о переустановке с чистого образа. Siemens выпустила отдельный бюллетень для промышленных продуктов на Linux; если у вас есть устройства на Linux, проверьте бюллетень их производителя.

Если сомневаетесь

Не уверены, затронут ли сервер, используется ли kTLS и вступило ли обновление в силу? Напишите команде Noroxi — разберёмся вместе.

---

Сведения о записи

Хронология

Исправленные версии по веткам ядра

Источники

• Исправление в ядре Linux
• CISA: в каталог добавлена эксплуатируемая уязвимость (18 сентября 2026 г.)
• Red Hat: CVE-2025-39682 · RHSA-2025:16880
• Debian: трекер безопасности, CVE-2025-39682
• Ubuntu: CVE-2025-39682
• TuxCare: три старые уязвимости ядра Linux в каталоге CISA KEV
• Siemens: SSA-032379
• NVD: CVE-2025-39682
• Запись Noroxi о CVE: динамика вероятности эксплуатации и исправления по дистрибутивам
• Все уязвимости Linux

В статье нет кода эксплойтов и ссылок на инструменты атак.