La CISA ha inserito tre vulnerabilità del kernel Linux nel catalogo dei difetti attivamente sfruttati. Ecco i rischi per i server aziendali e le verifiche da eseguire subito.
Il 18 settembre 2026 l'agenzia statunitense per la cybersicurezza CISA ha inserito tre vulnerabilità del kernel Linux all'interno del proprio catalogo KEV (Known Exploited Vulnerabilities). Questa classificazione certifica un dato di fatto: le falle non sono solo teoriche, ma vengono attivamente sfruttate dai criminali informatici in attacchi reali. Il 19 settembre 2026, anche Red Hat ha aggiornato i propri avvisi di sicurezza, confermando l'esistenza di exploit pubblici pronti all'uso.
Per le PMI e gli studi professionali italiani, la cui infrastruttura si basa spesso su server Linux per la gestione di database, macchine virtuali, firewall e gestionali, la notizia richiede un'azione tempestiva. La CISA ha imposto alle agenzie federali americane di applicare le correzioni entro il 21 settembre 2026, una tempistica ristretta che evidenzia la gravità della situazione e che dovrebbe fungere da parametro anche per le aziende private.
I dettagli tecnici delle vulnerabilità
Le tre falle di sicurezza colpiscono componenti distinti del kernel Linux e presentano livelli di rischio differenti. Attualmente, le fonti di sicurezza precisano che non sono ancora noti i gruppi criminali responsabili degli attacchi, né è confermato se queste vulnerabilità vengano utilizzate insieme in un'unica catena di attacco.
- CVE-2025-39682 (kTLS): Si tratta di un errore nel modulo crittografico kernel TLS utilizzato per le connessioni TCP, causato da una gestione errata dei record con lunghezza pari a zero. Il punteggio di gravità CVSS è valutato a 9.8 secondo kernel.org e 7.1 dal registro NVD. Il difetto coinvolge diversi rami del kernel, incluse le versioni 6.1 (precedenti alla 6.1.149) e 6.12 (precedenti alla 6.12.44). Può provocare la divulgazione di dati in memoria, il blocco del sistema e offre la possibilità di manipolare da remoto i servizi esposti che utilizzano kTLS.
- CVE-2026-53266 (ebtables): Questa vulnerabilità riguarda una scrittura fuori dai limiti di memoria nel sottosistema ebtables, utilizzato per filtrare il traffico di rete. Il problema si trova nel percorso di riscrittura SNAT per il protocollo ARP. Con un punteggio CVSS di 8.8, permette a un utente locale malintenzionato di bloccare il server o di elevare i propri privilegi fino a diventare amministratore di sistema (root).
- CVE-2025-39964 (AF_ALG): È una condizione di concorrenza legata a scritture simultanee sull'interfaccia crittografica del kernel. Ha un punteggio CVSS di 7.8 e consente a un utente locale di causare il crash del server o di alterare l'integrità delle operazioni crittografiche.
L'impatto reale sulle infrastrutture aziendali
Nelle aziende italiane, Linux è il motore invisibile che fa funzionare server gestionali, ambienti di virtualizzazione, container Docker e apparati di rete perimetrali.
Sebbene due delle tre vulnerabilità richiedano un accesso locale per essere innescate, non vanno sottovalutate. L'elevazione dei privilegi è il secondo passaggio standard di ogni intrusione informatica. Se un aggressore riesce a ottenere un accesso iniziale con privilegi minimi, magari sfruttando una password debole, un'applicazione web non aggiornata o un container configurato male, utilizzerà falle come la CVE-2026-53266 per ottenere il controllo totale della macchina.
Una volta acquisiti i diritti di amministratore, l'attaccante può disattivare i software di sicurezza, muoversi liberamente nella rete aziendale, rubare dati riservati e infine distribuire ransomware per bloccare l'intera operatività.
Le verifiche da eseguire subito sui server
Per proteggere l'infrastruttura IT aziendale e mitigare il rischio di intrusioni, i responsabili IT devono procedere con le seguenti operazioni:
- Mappare i sistemi e le versioni del kernel: È necessario identificare la versione del kernel in esecuzione su tutti i server fisici, le macchine virtuali e i nodi container dell'azienda. Il controllo si effettua rapidamente eseguendo il comando
uname -rda terminale. - Applicare gli aggiornamenti di sicurezza: Bisogna installare senza ritardi le patch rilasciate dai repository ufficiali della propria distribuzione Linux. Le correzioni sono già in fase di distribuzione per sistemi come Red Hat Enterprise Linux, Rocky Linux, AlmaLinux, Ubuntu, Debian e SUSE.
- Riavviare i server: L'installazione dell'aggiornamento del kernel diventa effettiva solo dopo il riavvio della macchina, a meno che l'azienda non impieghi tecnologie di live patching supportate dalla propria infrastruttura.
- Ispezionare i log di sistema: Sui server direttamente esposti su Internet, è opportuno analizzare i registri di sistema per individuare eventuali anomalie, accessi sospetti o tentativi di esecuzione di comandi non autorizzati avvenuti prima dell'applicazione della patch.
