通往本地 root 的道路在同一周内被一并打开 —— Linux 内核 LPE 列入 KEV 与公开漏洞利用代码的合流

2026 年 9 月 18 日，CISA 基于实际攻击的证据，将三个 Linux 内核漏洞列入 Known Exploited Vulnerabilities（KEV）目录：CVE-2025-39682（CVSS 9.8，内核 TLS 接收路径的条件检查缺陷，可导致内存泄露或拒绝服务）、CVE-2026-53266（CVSS 8.8，netfilter bridge 的 ebtables SNAT ARP 改写路径中的越界写入，可实现本地特权提升）、CVE-2025-39964（CVSS 7.8，对同一 AF_ALG 套接字并发写入的竞态条件）。FCEB 联邦机构被要求在 9 月 21 日前完成修复。对于三者中的任何一个，CISA 均未公布攻击活动的细节或威胁行为者的归因，它们是否构成同一条攻击链也不得而知。已知的情形是：Red Hat 截至 9 月 19 日已更新全部三个通告，声明该 CVE 属于高风险且存在已知的公开漏洞利用代码，并敦促以高优先级处理（据 The Hacker News、CISA 与 Red Hat）。

同一天，另一股暗流扩大了内核攻击面。安全研究者 Asim Manizada 曾于 7 月中旬向 Linux 内核安全团队报告了四个本地特权提升（LPE）漏洞——DirtyAH6（CVE-2026-80844，IPsec AH6）、TUNderflow（CVE-2026-81000，TUN/TAP 虚拟网络设备）、PPPoEject（CVE-2026-68121，PPPoE）、DiagSpill（CVE-2026-74469，SCTP 的 sctp_diag）。9 月 18 日，在让各发行版得以发布修复的协调期之后，他公开发布了技术分析文章与可用的漏洞利用代码。四者均已在现行内核中修复，也没有在真实攻击中被使用的报告。但四者中的三个——DirtyAH6、TUNderflow、PPPoEject——都以“非特权用户命名空间已启用”为攻击前提，而这是许多发行版默认启用的功能；剩下的 DiagSpill，只要 SCTP 模块可用，就完全不需要任何特殊权限（据 The Hacker News 的报道）。

分析（与事实分开）：两条消息同日落地，标志着重点从“入口”转向“入口之后”。上周的这篇观测探讨了面向互联网的边界设备——Cisco ISE 与 Secure Email Gateway——的 root 侵害。边界设备在设计上就是可达的，“是否暴露”这个问题无需追问；而本周的内核漏洞全部以本地为前提（远程触发面狭窄且以崩溃为主）。从攻击者的视角看，真正重要的是从共享主机上的初始立足点通往 root 的路径清单正在变厚。容器宿主机、CI 运行器、多租户服务器与 AI 工作负载环境，都是“多个主体在此持有低权限 shell”这一运行假设下的资产——每多一条公开的漏洞利用代码，横向移动的成本就降低一分。据报道，公开的漏洞利用代码需要针对特定内核构建做调整，且可能使机器崩溃；这是关于开发成本的表述，而不是对可利用性的否定。

防御侧启示：(1) KEV 登载的三个漏洞不只是打补丁的问题，还属于 CISA BOD 26-04 规定的取证分诊对象——在打补丁之前回溯日志、排查是否存在先于补丁的侵害，是基线动作。(2) 用户命名空间对许多工作负载是必需的，但在不需要它的服务器上，禁用它值得评估：四个新 LPE 中有三个以这一个默认设置为前提，这个事实说明内核攻击面的相当部分悬于一项配置选择之上。(3) 在共享主机上，与逐个 CVE 的补丁应用并行，对结构本身做盘点——租户隔离、CI 运行器的一次性化、AI 工作负载的隔离——因为“一个人拿到 root，所有人都完蛋”是设计属性，不是补丁级别。(4) 内核空间的侵害对用户空间的 agent 不可见，以基于 eBPF 的运行时检测与内核完整性监控作为补充，是现实的选择。本文事实依据 CISA 的 KEV 警报（https://www.cisa.gov/news-events/alerts/2026/09/18/cisa-adds-two-known-exploited-vulnerabilities-catalog）、The Hacker News 对 KEV 登载（https://thehackernews.com/2026/09/cisa-flags-three-linux-kernel.html）及四个 LPE 公开（https://thehackernews.com/2026/09/public-exploits-released-for-four-linux.html）的报道、Red Hat 的通告（https://access.redhat.com/security/cve/cve-2025-39682）。分析部分与事实分开记述。