Sei vulnerabilità per Linux, inedite e senza patch, sono state pubblicate per errore sulla mailing list pubblica (aggiornato: 22 ottobre 2026, ore 22:13)

Il team Zero Day Initiative (ZDI) di Trend Micro ha pubblicato una serie di segnalazioni di vulnerabilità del kernel Linux sulla LKML, la mailing list pubblica degli sviluppatori, anziché sulla lista privata dedicata alla sicurezza. A quanto pare si tratta di un errore. Il risultato, però, non cambia: i dettagli di falle ancora prive di correzione nel ramo principale sono ora leggibili da chiunque segua la lista. Questo significa meno tempo per preparare le patch e per farle arrivare nelle distribuzioni, e una corsa più affannosa per amministratori e maintainer.

Sei segnalazioni, due con punteggio 9.0

Le vulnerabilità finite in pubblico sono identificate solo con i codici interni di ZDI, senza identificativi CVE. Le due più gravi raggiungono un punteggio CVSS di 9.0 e appartengono entrambe alla categoria dell'esecuzione di codice da remoto:

• ZDI-CAN-33549 (CVSS 9.0): un integer underflow in SMB Direct, che potrebbe portare all'esecuzione di codice da remoto nel kernel
• ZDI-CAN-33774 (CVSS 9.0): una race condition in ksmbd, il server SMB integrato nel kernel, anch'essa potenzialmente sfruttabile per eseguire codice da remoto
• ZDI-CAN-33367: un problema in skb_zerocopy(), nel codice di rete (skbuff), che consente un'escalation dei privilegi in locale
• ZDI-CAN-34068: una scrittura fuori dai limiti (out-of-bounds write) nel driver grafico VMware vmwgfx, con escalation dei privilegi in locale
• ZDI-CAN-34076: una risorsa non inizializzata in nvmet, il target NVMe del kernel, che porta alla divulgazione di informazioni
• ZDI-CAN-32005: uno stack buffer overflow legato alle query TCP sui domini di ricerca (search domain), con escalation dei privilegi in locale

Per le quattro segnalazioni non critiche il punteggio CVSS non è stato reso noto.

Patch in arrivo, ma non ancora nel mainline

Il punto dolente è proprio lo stato delle correzioni. Nessuna delle vulnerabilità risulta corretta nel kernel mainline. In alcuni casi le patch sono in fase di test, oppure accodate nei rami "-next", dove il codice attende di confluire nel ciclo di sviluppo successivo.

Il caso di ZDI-CAN-33549 è emblematico. La correzione esiste già, in un ramo Git destinato a Linux 7.5, ma non è ancora entrata nel ramo principale. È plausibile che ora venga accelerata, vista l'esposizione pubblica, ma per il momento si tratta di un'aspettativa, non di un impegno ufficiale.

Va un po' meglio per ZDI-CAN-33367. Gli sviluppatori del kernel avevano già ricevuto in privato una segnalazione analoga e indipendente dello stesso problema in skb_zerocopy(), a quanto risulta la settimana scorsa, e stavano preparando la correzione. In questo caso la divulgazione accidentale ha bruciato meno margine di quanto si potrebbe temere.

Perché l'errore pesa più di quanto sembri

La divulgazione coordinata esiste proprio per evitare situazioni del genere. Chi scopre una falla la comunica in privato ai maintainer, la correzione viene preparata e distribuita, e solo dopo i dettagli diventano pubblici. Le distribuzioni hanno così il tempo di integrare la patch nei propri kernel e di spingere gli aggiornamenti agli utenti prima che qualcuno possa costruire un exploit partendo dalla descrizione del difetto.

» Leggi anche: [Agg: update ora disponibile] Allarme rosso per PHP: due vulnerabilità critiche consentono l'hack immediato di qualsiasi sito (PHP2Shell)

Con le segnalazioni sulla LKML, questa sequenza si è invertita: prima la pubblicità, poi le patch. La reazione di Greg Kroah-Hartman, il numero due dello sviluppo del kernel e responsabile dei rami stabili, è stata asciutta. Ha risposto a ciascuna segnalazione chiedendo perché fosse stata inviata alla lista pubblica. Trend Micro, per ora, non ha fornito spiegazioni.

Non ci sono notizie di sfruttamento attivo, né indicazioni sui tempi di rilascio delle correzioni nel mainline o sugli avvisi delle singole distribuzioni.

Cosa fare adesso

Questo non significa che tutti i sistemi Linux siano attaccabili da remoto. Le due falle più gravi riguardano SMB Direct e ksmbd, e la seconda tocca solo le macchine che usano davvero il server SMB del kernel e lo espongono in rete. Chi condivide file con Samba, che lavora in user space, oppure non usa SMB affatto, non è coinvolto da ZDI-CAN-33774.

Se amministri dei server, il primo controllo è semplice: verifica se il modulo ksmbd è caricato, ad esempio con lsmod | grep ksmbd. Se non ti serve, scaricalo e impediscine il caricamento automatico. Se invece ti serve, limita il più possibile l'esposizione della porta SMB, tenendola lontana da Internet e dalle reti non fidate. Ragionamento analogo per nvmet, rilevante soltanto per chi esporta dispositivi NVMe in rete, e per vmwgfx, che entra in gioco sulle macchine virtuali VMware.

Le tre escalation dei privilegi locali sono meno urgenti sui sistemi a utente singolo, ma diventano rilevanti su server multiutente, host condivisi e ambienti in cui un attaccante potrebbe già disporre di un accesso limitato. Per tutti vale la stessa regola: seguire da vicino gli avvisi di sicurezza della propria distribuzione e installare il nuovo kernel non appena disponibile, senza aspettare la consueta finestra di manutenzione. Stavolta il vantaggio di cui di solito godono i difensori si è ridotto parecchio.

Fonti: phoronix.com, intragoals.com