Drei ausgenutzte Linux-Kernel-Lücken: CISA-Frist 21. September

Die US-Cybersicherheitsbehörde CISA hat am 18. September 2026 drei Schwachstellen im Linux-Kernel in ihren Katalog bekannter ausgenutzter Schwachstellen (KEV) aufgenommen und Bundesbehörden eine Frist bis zum 21. September gesetzt — drei Tage. Die Einträge erschienen am selben Tag in zwei getrennten Warnungen, eine für zwei Lücken, eine für die dritte.

CVE-2026-53266 ist ein Out-of-Bounds-Schreibzugriff im ebtables-SNAT-Target des Bridge-Netfilter-Codes; laut CISA-Eintrag kann das Überschreiben der ARP-Absender-Hardwareadresse direkt in ein nichtlineares Socket-Buffer-Fragment schreiben, das auf einer per splice importierten Dateiseite liegt. CVE-2025-39964 ist eine Race Condition, bei der zwei gleichzeitige Schreibvorgänge denselben AF_ALG-Krypto-Socket treffen; die Daten werden unvorhersehbar verschachtelt, der interne Zustand des Sockets wird inkonsistent. CVE-2025-39682 steckt im TLS-Empfangspfad: Ein Datensatz der Länge null aus der rx_list kann die vorgesehene Behandlung des Datensatztyps in recvmsg() umgehen.

Wie schwer die Lücken wiegen, hängt davon ab, wer bewertet. kernel.org, die CVE-Nummernvergabestelle des Kernels, vergibt 8,8 für die ebtables-Lücke, 7,8 für die AF_ALG-Race-Condition und 9,8 — also kritisch — für den TLS-Fehler. Die National Vulnerability Database des NIST liegt dort, wo ihre Analysten eigene Werte veröffentlicht haben, niedriger: 5,5 für die AF_ALG-Lücke und 7,1 für den TLS-Fehler. Zudem stuft die NVD den TLS-Fehler als lokal ausnutzbar ein, während kernel.org ihn als über das Netz erreichbar führt. Für die ebtables-Lücke hat die NVD keinen eigenen Wert veröffentlicht.

CISAs eigene Bewertungsdatensätze vom 18. September führen alle drei als "aktiv" ausgenutzt mit "vollständiger" technischer Wirkung. Nur der TLS-Fehler gilt als automatisierbar, die Ausnutzung lässt sich also in großem Maßstab skripten. Den Ransomware-Status aller drei gibt CISA als unbekannt an und nennt weder Angreifer noch Kampagne oder Opfer.

Neu sind die Korrekturen nicht. Upstream-Patches für alle drei liegen bereits auf git.kernel.org, die Einträge erschienen in der NVD am 5. September 2025 (TLS), am 13. Oktober 2025 (AF_ALG) und am 25. Juni 2026 (ebtables). Das Debian-LTS-Team veröffentlichte im Oktober 2025 eine Meldung zur TLS-Lücke, und Siemens ProductCERT führt zu zwei der drei Lücken Hinweise für Industrieprodukte. Geändert hat sich am 18. September nur die Feststellung von CISA, dass Angreifer sie einsetzen. Zwei der drei Einträge tragen zusätzlich den Hinweis, betroffene Produkte könnten das Ende ihrer Lebens- oder Supportdauer erreicht haben.

Drei Kernel-Einträge an einem Tag sind ungewöhnlich. Der Katalog umfasst inzwischen 1.716 Schwachstellen, davon 31 zum Linux-Kernel; nach CISAs eigenem Datenfeed ist der 18. September 2026 erst das zweite Datum mit drei Kernel-Einträgen auf einmal, nach dem 15. September 2022. Da Linux den Großteil der Server- und Cloud-Infrastruktur trägt, ist die Zahl betroffener Maschinen weit größer als die Zahl der Behörden, die die Frist tatsächlich bindet.

Die Frist stammt aus der Binding Operational Directive 26-04, die nur für zivile Bundesbehörden gilt; allen anderen Organisationen empfiehlt CISA dieselbe Priorisierung. Die geforderte Maßnahme endet nicht beim Patchen: Behörden müssen auch CISAs Leitfaden zur forensischen Triage befolgen und klären, ob sie vor dem Einspielen des Patches kompromittiert wurden. Kompromittierungsindikatoren hat CISA zu den drei Lücken nicht veröffentlicht.