CISA warnt vor aktiver Ausnutzung von drei Linux-Kernel-Sicherheitslücken

CISA warnt vor der aktiven Ausnutzung von drei Linux-Kernel-Sicherheitslücken. Die US-amerikanische Cybersecurity and Infrastructure Security Agency hat CVE-2025-39682, CVE-2025-39964 und CVE-2026-53266 in ihren Known Exploited Vulnerabilities Catalog aufgenommen. Damit liegen Hinweise vor, dass diese Schwachstellen tatsächlich ausgenutzt wurden.

Die Sicherheitslücken befinden sich in unterschiedlichen Bereichen des Linux-Kernels und haben unterschiedliche Voraussetzungen für eine erfolgreiche Ausnutzung. Dies bedeutet nicht, dass jeder Linux-Server ohne Authentifizierung aus dem Internet übernommen werden kann. Die Aufnahme in den CISA-KEV-Katalog ist für Linux-Administratoren jedoch ein klarer Grund, verfügbare Kernel-Sicherheitsupdates mit erhöhter Priorität zu installieren.

Welche Linux-Kernel-Sicherheitslücken werden aktiv ausgenutzt?

CISA hat am 18. September 2026 die folgenden drei Linux-Kernel-Sicherheitslücken in den Known Exploited Vulnerabilities Catalog aufgenommen:

• CVE-2025-39682 – eine Schwachstelle bei der Verarbeitung von Zero-Length Records im TLS Receive Path des Linux-Kernels.
• CVE-2025-39964 – eine Race Condition innerhalb der kryptografischen AF_ALG-Schnittstelle des Linux-Kernels.
• CVE-2026-53266 – ein Speicherfehler innerhalb von Netfilter Bridge ebtables SNAT beim Umschreiben von ARP-Adressen.

Die Aufnahme in den CISA-KEV-Katalog bedeutet, dass CISA über Hinweise auf eine tatsächliche Ausnutzung verfügt. CISA hat bislang jedoch keine technischen Einzelheiten zu den beobachteten Angriffen, den beteiligten Angreifern oder den betroffenen Organisationen veröffentlicht.

CVE-2025-39682: Fehler in der TLS-Verarbeitung des Linux-Kernels

CVE-2025-39682 betrifft die Verarbeitung von TLS-Datensätzen durch den Linux-Kernel. Das Problem tritt in einer speziellen Situation auf, bei der ein Zero-Length Record aus der rx_list in Kombination mit Zero-Copy-Entschlüsselung verarbeitet wird.

Unter den erforderlichen Voraussetzungen kann ein lokaler Angreifer die Schwachstelle ausnutzen, um einen Denial-of-Service zu verursachen oder Speicherinhalte offenzulegen.

Die Schwachstelle sollte nicht als allgemeine Remote-TLS-Sicherheitslücke interpretiert werden, über die jeder Linux-Webserver aus dem Internet angegriffen werden kann. Die verfügbaren Herstellerinformationen beschreiben den relevanten Angriffsvektor als lokal und setzen eingeschränkte Berechtigungen voraus.

CVE-2025-39964: Race Condition in der kryptografischen AF_ALG-Schnittstelle

CVE-2025-39964 ist eine Race Condition in der Linux-AF_ALG-Schnittstelle. AF_ALG ermöglicht Anwendungen im Userspace den socketbasierten Zugriff auf kryptografische Funktionen des Linux-Kernels.

Wenn zwei Schreibvorgänge gleichzeitig auf demselben AF_ALG-Socket stattfinden, können Daten unvorhersehbar vermischt werden und der interne Zustand des Sockets kann inkonsistent werden.

Ein lokaler Benutzer kann die Schwachstelle verwenden, um einen Systemabsturz zu verursachen oder Ergebnisse kryptografischer Operationen zu beschädigen. Der Kernel-Patch verhindert parallele Schreibzugriffe, indem während eines Schreibvorgangs ein exklusiver Zugriff erzwungen wird.

CVE-2026-53266: Speicherbeschädigung in ebtables SNAT

CVE-2026-53266 betrifft die Netfilter Bridge ebtables SNAT-Funktionalität des Linux-Kernels.

Beim Umschreiben der Hardware-Adresse des Absenders eines ARP-Pakets kann unter bestimmten Bedingungen in einen Speicherbereich geschrieben werden, der zuvor nicht korrekt schreibbar gemacht wurde. Dadurch kann es zu einer Speicherbeschädigung kommen.

Laut Red Hat kann die Schwachstelle zu unerwartetem Systemverhalten, Denial-of-Service und möglicherweise zu lokaler Privilege Escalation führen. Für die Ausnutzung sind bestimmte Bridge-Netfilter- und ebtables-SNAT-Regeln erforderlich. Deshalb ist nicht jede Linux-Installation auf die gleiche Weise betroffen.

Aktive Ausnutzung bestätigt, technische Details fehlen jedoch

Der entscheidende Unterschied zu vielen regulären Linux-Sicherheitsupdates besteht darin, dass diese drei Schwachstellen im CISA Known Exploited Vulnerabilities Catalog aufgeführt sind.

Damit ist eine tatsächliche Ausnutzung bestätigt. Daraus lässt sich jedoch nicht ableiten, dass derzeit massenhaft beliebige Linux-Server angegriffen werden. CISA hat bislang keine Informationen über den Umfang der Angriffe, konkrete Exploit Chains oder betroffene Organisationen veröffentlicht.

Auch ein Einsatz dieser Sicherheitslücken durch bekannte Ransomware-Kampagnen ist in den KEV-Informationen derzeit nicht bestätigt.

Debian, Ubuntu und andere Linux-Distributionen

Linux-Distributionen integrieren Sicherheitskorrekturen häufig als Backports in ihre eigenen Kernel-Pakete. Deshalb reicht es nicht aus, ausschließlich die Upstream-Versionsnummer des Linux-Kernels zu vergleichen.

Für Debian stehen distributionsspezifische Korrekturen für betroffene Kernel zur Verfügung. Der Debian Security Tracker führt beispielsweise gepatchte Pakete für CVE-2026-53266 für Debian 12 Bookworm und Debian 13 Trixie auf.

Ubuntu stellt ebenfalls korrigierte Kernel-Pakete für betroffene Versionen bereit. Für CVE-2025-39682 führt Ubuntu beispielsweise korrigierte Kernel für betroffene Ubuntu-24.04-LTS-Systeme auf, während bestimmte ältere Ubuntu-Versionen von dieser konkreten Schwachstelle nicht betroffen sind.

Für CVE-2025-39964 stehen ebenfalls korrigierte Kernel unter anderem für Ubuntu 22.04 LTS und Ubuntu 24.04 LTS zur Verfügung.

Administratoren sollten deshalb immer den Sicherheitsstatus der tatsächlich eingesetzten Linux-Distribution kontrollieren und Kernelupdates über die offiziellen Paketquellen installieren.

Was sollten Linux-Serveradministratoren jetzt tun?

• Prüfen Sie, ob über die offiziellen Paketquellen der Linux-Distribution Kernelupdates verfügbar sind.
• Installieren Sie verfügbare Sicherheitsupdates mit erhöhter Priorität.
• Kontrollieren Sie nach dem Update mit uname -r, welcher Kernel tatsächlich aktiv ist.
• Beachten Sie, dass die Installation eines neuen Kernel-Pakets den laufenden Kernel nicht automatisch ersetzt.
• Starten Sie den Server neu, wenn dies erforderlich ist, um den aktualisierten Kernel zu laden.
• Kontrollieren Sie Virtualisierungs-, Container- und Bridge-Umgebungen zusätzlich auf die Verwendung von Bridge Netfilter und ebtables SNAT.
• Verwenden Sie distributionsspezifische Sicherheitshinweise und verlassen Sie sich nicht ausschließlich auf Upstream-Kernelversionsnummern.

Ein installiertes Kernelupdate kann einen Neustart erfordern

Bei Linux-Kernelupdates muss zwischen dem auf dem System installierten Kernel und dem aktuell laufenden Kernel unterschieden werden.

Nach der Installation eines neuen Kernel-Pakets kann ein Server weiterhin mit dem vorherigen Kernel laufen. Administratoren sollten deshalb die aktive Kernelversion überprüfen und bei Bedarf einen kontrollierten Neustart durchführen.

Produktivsysteme sollten selbstverständlich kontrolliert neu gestartet werden. Anschließend sollte geprüft werden, ob alle kritischen Dienste wieder ordnungsgemäß verfügbar sind.

Besondere Aufmerksamkeit für Unmanaged VPS und Dedicated Server

Bei nicht verwalteten Servern ist der Kunde selbst für die Installation von Betriebssystem- und Kernel-Sicherheitsupdates verantwortlich. Ein stabil laufender Server ist nicht automatisch ein vollständig gepatchter Server.

Besonders Systeme mit einer langen Uptime sollten kontrolliert werden. Ein aktualisiertes Kernel-Paket kann bereits installiert sein, während das System weiterhin mit einem älteren und möglicherweise verwundbaren Kernel läuft.

Managed VPS bei Vservs

Bei einem Managed VPS von Vservs übernehmen wir die technische Verwaltung der Serverumgebung. Dazu gehören relevante Betriebssystem- und Sicherheitsupdates, Monitoring und Server Hardening.

Bei Unmanaged VPS und Dedicated Servern bleibt die Kontrolle, Installation und Aktivierung von Linux-Kernel-Sicherheitsupdates in der Verantwortung des Serveradministrators.

Fazit

Die Aufnahme von CVE-2025-39682, CVE-2025-39964 und CVE-2026-53266 in den CISA Known Exploited Vulnerabilities Catalog erhöht die Priorität dieser Linux-Kernel-Sicherheitslücken gegenüber rein theoretischen Schwachstellen deutlich.

Eine aktive Ausnutzung ist bestätigt. Die drei Schwachstellen haben jedoch unterschiedliche technische Voraussetzungen und stellen keine universelle, nicht authentifizierte Remote-Übernahme beliebiger Linux-Server dar.

Linux-Administratoren sollten verfügbare distributionsspezifische Kernel-Sicherheitsupdates priorisieren und nach den Wartungsarbeiten überprüfen, ob der gepatchte Kernel tatsächlich aktiv ist.

Quellen

• CISA – Known Exploited Vulnerabilities Catalog
• Linux Kernel – offizielle Stable-Kernel-Patches
• Debian Security Tracker – CVE-2025-39682, CVE-2025-39964 und CVE-2026-53266
• Ubuntu Security – Linux-Kernel-CVE-Informationen und Sicherheitsupdates
• Red Hat Security – Linux-Kernel-CVE-Informationen