CISA aggiunge tre CVE Linux al KEV con deadline di 3 giorni per le agenzie USA

CISA ha aggiunto tre vulnerabilità del kernel Linux al Known Exploited Vulnerabilities catalog il 18 settembre 2026, imponendo alle agenzie federali civili USA una finestra di patch di tre giorni — la più compressa consentita dal Binding Operational Directive 26-04. La decisione si basa su evidenza confermata di exploitation attiva, non sulla sola gravità del punteggio CVSS.

Le tre falle — CVE-2025-39682, CVE-2026-53266 e CVE-2025-39964 — colpiscono sottosistemi critici per la rete e la crittografia: il trasporto TLS in kernel, la riscrittura degli indirizzi ARP in ebtables, e l'interfaccia crittografica AF_ALG. Red Hat ha aggiornato i propri advisory alle 2:00 UTC del 19 settembre per segnalare "high risk" con exploit pubblici noti.

Il triangolo kTLS-ebtables-AF_ALG: tre falle, tre superfici di attacco

La natura distribuita delle tre vulnerabilità rende complessa la valutazione dell'esposizione. CVE-2025-39682, con punteggio CVSS 9.8 secondo il record ufficiale, risiede nel percorso di ricezione del kernel TLS (kTLS): un controllo improprio su record di lunghezza zero nella rx_list bypassa la gestione di recvmsg(), aprendo a memory disclosure o denial of service. Il bug si attiva solo su sistemi con kTLS abilitato, non su implementazioni TLS in user-space come OpenSSL.

CVE-2026-53266 (CVSS 8.8) è un out-of-bounds write nel percorso di riscrittura ARP del target SNAT di ebtables, il framework di filtraggio bridge-level. La scrittura al di fuori dei limiti avviene in socket buffer non lineari durante la manipolazione dell'hardware address, permettendo privilege escalation locale. Il vettore richiede privilegi locali ma offre impatto sistema.

CVE-2025-39964 (CVSS 7.8) è una race condition nell'API AF_ALG, l'interfaccia kernel per algoritmi crittografici. La concorrenza di scritture sullo stesso socket AF_ALG permette interleaving di dati crittografici, con esito potenziale di denial of service o corruzione del flusso crittografico. La fonte non specifica se la corruzione possa estendersi a key material o limiti di confidenzialità.

Da CVSS a evidence: come BOD 26-04 ha capovolto le priorità

Il Binding Operational Directive 26-04, in vigore dal 2023, non lega più la deadline al punteggio di severità. L'unico criterio è l'esistenza di exploitation attiva documentata — indipendentemente dalla complessità del vettore o dalla profondità dell'impatto. Le agenzie Federal Civilian Executive Branch (FCEB) devono ora patchare entro il 21 settembre 2026, ma il requisito non si ferma alla sola applicazione della correzione.

BOD 26-04 impone anche un forensics triage per verificare compromissioni precedenti all'applicazione della patch. Questo passaggio, spesso trascurato nelle pratiche enterprise standard, eleva il costo operativo della compliance: non basta più chiudere il ticket, serve documentare l'assenza di intrusione. La compressione a tre giorni rende impraticabile sequenze di test estese in ambienti di staging.

"This CVE is high risk and there are known public exploits leveraging this vulnerability. Address this vulnerability with high priority." — Red Hat (via The Hacker News)

Cosa fare adesso

Per le organizzazioni che operano sotto requisiti FedRAMP o forniscono servizi ad agenzie federali, la deadline del 21 settembre 2026 è vincolante. Per il resto del mercato enterprise, le azioni seguono la logica del rischio ma non la pressione normativa.

Verificare l'esposizione a kTLS. CVE-2025-39682 si attiva solo con il trasporto TLS in kernel abilitato. Controllare se i servizi critici — specialmente quelli su stack cloud-native — utilizzano kTLS invece di TLS user-space. La fonte non fornisce query automatizzate per questa verifica.

Applicare le patch del kernel ai canali stabili. Le release notes ufficiali delle distribuzioni enterprise (Red Hat, SUSE, Canonical) contengono i commit correttivi. Le hash dei commit fix sono state pubblicate da fonti di settore per agevolare il tracciamento.

Considerare le mitigazioni temporanee documentate. Per CVE-2025-39964, la blacklist del modulo af_alg impedisce il caricamento del sottosistema. Per CVE-2026-53266, la disabilitazione della riscrittura ARP hardware address in ebtables riduce la superficie di attacco. Entrambe hanno impatto funzionale da valutare caso per caso.

Eseguire il triage forenso prima del riavvio. Il requisito CISA per le agenzie FCEB è estendibile a infrastrutture enterprise critiche: verificare log di accesso, anomalie nel comportamento dei socket kernel, e pattern di traffico sospetto precedenti alla patch.

Il confine tra locale e sistemico

La distinzione tra "privilege escalation locale" e "impatto remoto" rischia di essere fuorviante in ambienti cloud e containerizzati. CVE-2026-53266 e CVE-2025-39964 richiedono entrambe un punto di partenza locale, ma in architetture multi-tenant o in cluster Kubernetes il confine tra locale e remoto si dissolve. Un container compromesso attraverso un'altra falla diventa immediatamente il punto di lancio per l'escalation kernel.

Il caso illustra una tensione strutturale nel vulnerability management: le tre CVE non formano una catena d'attacco documentata, ma la loro simultanea presenza nel KEV con deadline identica suggerisce che CISA valuti il rischio aggregato, non solo quello individuale. Il dossier non conferma se le vulnerabilità siano state utilizzate da un unico attore o in campagne coordinate.

Non emergono sovrapposizioni infrastrutturali che colleghino l'exploitation attiva a threat actor specifici o a campagne ransomware conosciute. Red Hat ha aggiornato i propri advisory in meno di ventiquattro ore dall'inserimento nel KEV, un tempo di reazione che indica pre-allerta interna prima della pubblicazione CISA.

Domande frequenti

Tutti i sistemi Linux sono vulnerabili?

No. CVE-2025-39682 richiede kTLS abilitato; CVE-2026-53266 richiede l'uso di ebtables con SNAT ARP rewriting; CVE-2025-39964 richiede l'utilizzo di socket AF_ALG. L'esposizione dipende dalla configurazione effettiva del sistema, non dalla sola versione del kernel.

Perché la deadline è così breve?

BOD 26-04 fissa la deadline in base all'evidenza di exploitation attiva, non alla gravità CVSS. L'inserimento nel KEV il 18 settembre con scadenza al 21 rappresenta il minimo temporale operativo del framework — tre giorni lavorativi — applicato perché CISA ha confermato exploitation in corso.

Windows o WSL sono coinvolti?

Il kernel Windows non è affetto da queste vulnerabilità. Lo stato di Windows Subsystem for Linux richiede verifica separata rispetto al kernel nativo, e non risulta nel dossier come superficie di attacco documentata.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

• https://thehackernews.com/2026/09/cisa-flags-three-linux-kernel.html
• https://www.cisa.gov/known-exploited-vulnerabilities-catalog
• https://windowsforum.com/news/cve-2025-39682-in-kev-patch-linux-ktls-before-sept-21.445003/
• https://securityonline.info/linux-kernel-vulnerabilities-exploited/
• https://shattered.io/cisa-kev-bod-26-04-deadline-2026/
• https://www.cve.org/CVERecord?id=CVE-2025-39682
• https://www.cisa.gov/news-events/alerts/2026/09/18/cisa-adds-two-known-exploited-vulnerabilities-catalog
• https://www.cisa.gov/news-events/alerts/2026/09/18/cisa-adds-one-known-exploited-vulnerability-catalog
• https://thehackernews.com/
• https://thehackernews.com/p/upcoming-hacker-news-webinars.html