Drei aktiv ausgenutzte Linux-Kernel-Lücken beginnen lokal

CISA führt CVE-2026-53266, CVE-2025-39682 und CVE-2025-39964 als aktiv ausgenutzt. Alle beginnen mit lokaler Codeausführung, erreichen aber unterschiedliche Kernelpfade; die dokumentierte Root-Eskalation gilt hier für CVE-2025-39682. Entscheidend ist der feste Kernel des jeweiligen Distributionszweigs.

Der Linux-Kernel ist der Kern des Betriebssystems: Er verwaltet Prozesse, Speicher, Geräte und Rechte. CISA führt drei seiner Schwachstellen als aktiv ausgenutzt. Keine der drei ist in den zitierten Quellen ein direkter Angriff aus dem Internet. Angreifer müssen bereits lokal Code ausführen können und anschließend den jeweils betroffenen Kernelpfad erreichen.

„Lokal“ bedeutet dabei nicht dreimal dasselbe. Ein beliebiges Benutzerkonto genügt nicht automatisch für jeden Pfad. ebtables, Kernel-TLS und AF_ALG haben unterschiedliche Schnittstellen und Rechtebedingungen. Genau deshalb müssen Betreiber CVE und Systemkonfiguration getrennt prüfen.

Was Betreiber sehen — und was nicht

Es erscheint keine Sicherheitsabfrage. Ein lokal ausführungsfähiger Angreifer spricht den jeweiligen Kernelpfad an; ein legitimer Nutzer muss nichts bestätigen. Bei CVE-2025-39682 kann eine unerwartete Rechteausweitung bis Root die Folge sein. Ein Kernel-Oops ist ein protokollierter Kernel-Fehlerbericht über eine Ausnahme im Betriebssystemkern; je nach Fehlerpfad können solche Meldungen bei der Untersuchung relevant sein. Für CVE-2025-39964 nennen die verlinkten Primärquellen dagegen ausschließlich unvorhersehbar ineinanderlaufende AF_ALG-Daten und einen inkonsistenten internen Socket-Zustand. Eine weitere sichtbare Wirkung leitet dieser Beitrag daraus nicht ab.

Drei CVEs, drei lokale Voraussetzungen

CVE-2026-53266 betrifft den SNAT-ARP-Pfad von ebtables. ebtables filtert und verändert Ethernet-Frames auf Linux-Netzwerkbrücken; SNAT schreibt dabei eine Quelladresse um. Der Fehler kann außerhalb des vorgesehenen Speicherbereichs schreiben. Er setzt lokale Codeausführung und den Zugriff auf den betroffenen ebtables-Pfad voraus. Die öffentlichen Tracker machen daraus keine belastbare Aussage, dass jedes niedrig privilegierte Konto diesen Pfad erreichen kann; zusätzliche Rechte oder eine passende Namespace-/Netzwerkkonfiguration sind deshalb Teil der Expositionsprüfung.

CVE-2025-39682 betrifft Kernel TLS, kurz kTLS, im Empfangspfad. kTLS verlagert Teile der TLS-Datenverarbeitung in den Kernel. Eine Use-after-free-Lücke verwendet Speicher weiter, nachdem das zugehörige Objekt bereits freigegeben wurde. Die CISA- und Forscherangaben beschreiben einen lokal authentifizierten, niedrig privilegierten Ausgangspunkt; Star Labs dokumentiert unter den nötigen kTLS-Bedingungen eine Rechteausweitung bis Root.

CVE-2025-39964 betrifft AF_ALG, die Linux-Socket-Schnittstelle für Kernel-Kryptografie. Gleichzeitige Schreibzugriffe auf denselben AF_ALG-Socket können die zugehörigen AF_ALG-Daten unvorhersehbar ineinanderlaufen lassen und einen inkonsistenten internen Socket-Zustand erzeugen. Der Angriffsvektor ist lokal und setzt den Zugriff auf diesen Socketpfad voraus. Eine weitere konkrete Wirkung leitet dieser Beitrag aus den verlinkten Primärquellen nicht ab; insbesondere überträgt er die für CVE-2025-39682 belegte Root-Folge nicht auf diese CVE.

Der gemeinsame Nenner ist somit nur die lokale Ausgangslage. Rechte, erreichbare Schnittstelle und Wirkung bleiben CVE-spezifisch.

Welche Version ist fest?

Distributionen übernehmen Kernelkorrekturen in eigene Paketstände. Eine scheinbar ältere Distributionsversion kann deshalb bereits korrigiert sein; eine nackte Upstream-Version ist kein Patchplan.

Lücke	Auswahl bestätigter fester Ubuntu-Stände	Auswahl bestätigter fester Debian-Stände
CVE-2026-53266	Ubuntu 26.04: `7.0.0-31.31`; mehrere ältere generische Zweige am 20.09.2026 noch offen	Bullseye `5.10.259-1`; Bookworm `6.1.176-1`; Trixie `6.12.94-1`; Unstable `7.0.13-1`
CVE-2025-39682	Ubuntu 25.04: `6.14.0-34.34`; 24.04: `6.8.0-86.87`; 22.04 und 20.04 laut Tracker nicht betroffen	Bookworm `6.1.153-1`; Trixie `6.12.48-1`; Unstable `6.16.5-1`; in Bullseye fehlt der Code
CVE-2025-39964	Ubuntu 25.04: `6.14.0-37.37`; 24.04: `6.8.0-90.91`; 22.04: `5.15.0-164.174`; 20.04 Pro: `5.4.0-224.244`	Bullseye `5.10.247-1`; Bookworm `6.1.158-1`; Trixie `6.12.57-1`; Unstable `6.16.9-1`

Die Tabelle ist eine auf den 20. September 2026 datierte Orientierung. Cloud-, Echtzeit-, HWE- und herstellerspezifische Kernel können eigene Paketstände haben.

CISA-Fristen gelten nicht für alle Betreiber

Der CISA-KEV-Katalog führt jede Lücke einzeln. Beim Quellenstand vom 20. September nennt er jeweils den 18. September 2026 als Aufnahmedatum und den 21. September 2026 als dueDate:

Diese Frist ist eine behördliche Vorgabe für betroffene US-Bundesbehörden im FCEB-Bereich. Sie ist keine allgemeine gesetzliche Patchfrist für deutsche oder andere Betreiber. Der KEV-Status ist dennoch ein starkes Priorisierungssignal, weil CISA Evidenz aktiver Ausnutzung zugrunde legt.

Was jetzt sinnvoll ist

Laufenden Kernel mit uname -r und den installierten Paketstand erfassen.
Im Tracker der eigenen Distribution genau Release, Kernelpaket und Flavour prüfen.
Sicherheitsupdate installieren und neu starten, sofern kein bestätigter Livepatch genau diese CVE abdeckt.
Exposition getrennt prüfen: ebtables-Netzwerkpfad, kTLS-Nutzung und AF_ALG-Zugriff sind keine austauschbaren Voraussetzungen.
Bei Verdacht auf Ausnutzung nicht nur patchen, sondern den vorausgehenden lokalen Zugang untersuchen.

Aktive Ausnutzung verlangt Tempo. Der lokale Einstieg verlangt Präzision.

Quellen

CISA KEV, einzeln gefilterte Einträge zu CVE-2026-53266, CVE-2025-39682 und CVE-2025-39964
Ubuntu: CVE-2026-53266 · Debian-Tracker · CVE.org
Ubuntu: CVE-2025-39682 · Debian-Tracker · Star Labs
Ubuntu: CVE-2025-39964 · Debian-Tracker · CVE.org

Quellenstand: 20. September 2026.