CatNews

Продолжаем неделю IT-новостей (и плача Ярославны, касательно приближающегося техноапокалипсиса). На днях была опубликована информация об обнаружении серьёзной уязвимости в сетевом стеке Linux CVE-2026-9843: злоумышленник может отправлять на уязвимый сервер специально подготовленные сетевые пакеты по протоколу MPTCP и использовать ошибку управления памятью (в худшем случае это позволяет удалённо получить полный контроль над сервером). Даже если вы максимально далеки от темы IT, вы наверняка видели в тг посты уровня "Claude взломал Linux за час!!!111". Уязвимость серьёзная и Anthropic не побежал её сразу публиковать, а сначала связался с разработчиками собственно ядра Linux и описал им в чём проблема. Пока точная дата обнаружения уязвимости неизвестна, но 1 октября 2026 вышло исправление для подсистемы сетевого стека Linux, в котором в качестве обнаружившего баг был указан один из исследователей Anthropic. 5 октября исправление было принято в дерево разработки сетевой подсистемы ядра, 11 октября патч появился в стабильных версиях ядра 6.18.56 и 7.2.10, а с 15 по 18 октября исправление вышло для остальных "активных" веток (в том числе и для 7.3). Только 27 октября Anthropic публично описала уязвимость и разработанный Claude эксплойт с удалённым выполнением команд от root. Но выше шла речь исключительно о собственно ядре, а что на счёт популярных дистрибутивов? А тут всё гораздо грустнее. Oracle Linux и Debian выложили обновления 16-17 октября, SUSE и Amazon 29го, а вот RHEL и Ubuntu так до сих пор и не выпустили патчи (хотя обещают сделать "вот-вот"). А что у нас? Ну Astra выпустила экстренные бюллетени безопасности, в которых прописала "как заколотить дыру при помощи говна и палок", но полноценного патча пока нет. У Red OS вообще ничего не вижу на сайте касательно этой CVE, но мб что-то во внутренних рассылках было, но патча пока тоже нет. Т.е. ситуация следующая: уже как минимум месяц существует ЛЮТАЯ уязвимость, которая позволяет взломать существенную часть Linux-серверов (MPTCP по умолчанию включён у софта, написанного на очень популярном сейчас языке Go, а также он с высокой долей вероятности может быть открыт на балансировщиках и тому подобном ПО...), при этом уже 4 дня как о ней известно в широких кругах и продемонстрирован конкретный эксплойт, но многие дистрибутивы до сих пор не выпустили патч. Опять же, кто-то работает на старой неподдерживаемой версии, кто-то живёт в "зомби-режиме", когда сервер 1 раз настроили и больше ничего с ним не делают годами. Кто-то просто паразитирует на наследии более развитой цивилизации (когда интегратор провел первоначальную настройку, а дальше системой рулит пара не слишком компетентных операторов). Т.е. даже после выхода патча далеко не все серверы из зоны риска будут защищены. Короче, время в ИТ крайне неспокойное. Так много всего раскопали за последние 3 месяца, что я боюсь даже представить сколько 0-day уязвимостей ещё приберегли в загашнике "на Новый год". Не хотелось бы панику разгонять, но чёт ощущения какие-то прямо-таки нехорошие. А когда очередная говорящая голова начинает задвигать, что с текущим кризисом надо бороться при помощи ужесточения законодательства, отключения мобильного интернета и борьбой с ВПН, то уже совсем не по себе становится. Лучше бы 60 лярдов потратили на аудит инфраструктуры государственных цифровых сервисов и госкорп. Хотя бы на предмет уже обнаруженных уязвимостей. Толку было бы в 1000 раз больше.