CISA warnt vor drei aktiv ausgenutzten Kernel-Lücken

Wenn die US-Cybersicherheitsbehörde CISA binnen einer Woche gleich drei Linux-Kernel-Lücken in ihre Liste aktiv ausgenutzter Schwachstellen aufnimmt, ist das kein Zufall, sondern ein Muster. Am 18. September war es so weit — und die Frist für US-Bundesbehörden endet bereits am 21. September. Für Homelab- und Server-Betreiber lohnt sich der Blick, denn alle drei Lücken stecken tief im Kernel, den fast jede Linux-Distribution mitbringt.

DIE DREI LÜCKEN IM DETAIL

Den Anfang macht CVE-2025-39682 mit einem CVSS-Wert von 9,8 — die gefährlichste der drei. Der Fehler steckt im kTLS-Empfangspfad des Kernels, also in der Kernel-internen Verschlüsselung für TLS-Verbindungen. Ein Sonderfall lässt einen leeren Datensatz aus der internen rx_list die eigentlich vorgesehene Typprüfung von recvmsg() umgehen. Praktisch heißt das: Speicheroffenlegung oder Denial-of-Service, je nachdem, wie die Lücke ausgenutzt wird.

Die zweite Lücke, CVE-2026-53266 (CVSS 8,8), betrifft das ebtables-SNAT-Ziel im Netfilter-Bridge-Code — also Regeln, die Bridge-Netzwerke mit Network Address Translation kombinieren, wie sie in vielen Container- und Virtualisierungs-Setups vorkommen. Ein Out-of-Bounds-Write in der ARP-Umschreiblogik kann Speicher korrumpieren und im ungünstigsten Fall zur lokalen Rechteausweitung führen.

Die dritte, CVE-2025-39964 (CVSS 7,8), ist eine Race Condition bei AF_ALG-Sockets, der Kernel-Schnittstelle für kryptografische Operationen. Gleichzeitige Schreibzugriffe auf denselben Socket können das System zum Absturz bringen oder kryptografische Ergebnisse verfälschen.

WICHTIG: Forensik statt nur Patchen

CISA hat bei allen drei Einträgen ausdrücklich vermerkt, dass betroffene Behörden nicht nur patchen, sondern forensisch nach Kompromittierungsspuren suchen sollen. Das ist eine Stufe strenger als die übliche „installier das Update“-Empfehlung und ein Hinweis darauf, wie ernst CISA die bereits beobachtete Ausnutzung einschätzt.

GLEICHE WOCHE, VIER WEITERE LÜCKEN

Fast zeitgleich, am 18. September, veröffentlichte der Sicherheitsforscher Asim Manizada einen technischen Bericht zu vier weiteren Kernel-Lücken mit funktionierenden Exploits: DirtyAH6 (IPsec/IPv6-Authentication-Header, ungeprüftes Routing-Header-Feld führt zu Pufferüberlauf), PPPoEject (Use-after-Free in der PPP-over-Ethernet-Pufferverwaltung), TUNderflow sowie DiagSpill (ein 16-Bit-Zähler im SCTP-Reporting läuft bei der 65.536. Verbindung über und schreibt in der Folge rund 8 MiB über den Puffer hinaus). Die zugrundeliegenden Fehler sind zwischen 10 und 21 Jahre alt — Manizada fand sie nach eigenen Angaben mit einem KI-gestützten Verfahren, das die Speicherverwaltung des Kernels systematisch abbildet. Diese vier Lücken stehen nicht auf der CISA-KEV-Liste, es gibt aber öffentliche Exploits dafür — ein zusätzlicher Grund, diese Woche nicht nur die drei KEV-Einträge zu patchen, sondern generell zeitnah zu aktualisieren.

SO PRÜFST DU DEIN SYSTEM

Kernel-Version prüfen: uname -r, dann beim jeweiligen Distributions-Tracker nachsehen, ob dein Kernel die Fixes bereits enthält.
kTLS-Nutzung checken: Wer kTLS nicht aktiv einsetzt (viele Homelabs tun das nicht), ist bei CVE-2025-39682 weniger exponiert — patchen lohnt trotzdem.
Bridge-Netfilter-Regeln: Betreiber von Docker-, Podman- oder LXC-Hosts mit eigenen ebtables/SNAT-Regeln sollten CVE-2026-53266 priorisieren.
Distributions-Update einspielen: Die meisten gängigen Distributionen haben die Fixes bereits in ihre Stable-Kernel zurückportiert — ein normales Systemupdate reicht in der Regel.

FAZIT

Drei aktiv ausgenutzte Kernel-Lücken plus vier öffentliche Exploits in derselben Woche sind ungewöhnlich viel auf einmal. Für dein Homelab heißt das konkret: Kernel-Update nicht auf die lange Bank schieben, auch wenn keine der Lücken auf den ersten Blick spektakulär klingt — genau solche unauffälligen Netzwerk- und Krypto-Pfade sind es, die in der Praxis am längsten unbemerkt bleiben.

Häufige Fragen

Muss ich als privater Homelab-Betreiber wirklich sofort handeln?

Die CISA-Frist gilt formal nur für US-Bundesbehörden, aber die zugrunde liegenden Lücken betreffen jeden Linux-Kernel in den entsprechenden Versionen. Da CISA aktive Ausnutzung bestätigt und sogar forensische Prüfung empfiehlt, lohnt sich ein zeitnahes Update auch privat, statt es aufzuschieben.

Welche der drei Lücken ist am gefährlichsten?

CVE-2025-39682 mit CVSS 9,8 im kTLS-Empfangspfad des Kernels gilt als kritischste der drei, da sie Speicheroffenlegung oder einen Systemabsturz auslösen kann. CVE-2026-53266 (8,8) und CVE-2025-39964 (7,8) sind schwerwiegend, aber an speziellere Konfigurationen wie Bridge-Netfilter-Regeln beziehungsweise gleichzeitige Krypto-Socket-Zugriffe gebunden.

Was hat es mit den vier zusätzlichen Lücken von Asim Manizada auf sich?

Das sind vier unabhängig gefundene Kernel-Schwachstellen (DirtyAH6, PPPoEject, TUNderflow, DiagSpill) mit veröffentlichten, funktionierenden Exploits, die zu lokalem Root-Zugriff führen können. Sie stehen nicht auf der CISA-KEV-Liste, sind aber ein zusätzlicher Grund für ein zeitnahes Kernel-Update in derselben Woche.

Reicht ein normales Systemupdate, um mich zu schützen?

In den meisten Fällen ja. Gängige Distributionen portieren Kernel-Sicherheitsfixes in ihre Stable-Zweige zurück, sodass ein reguläres Paketupdate die Lücken schließt. Prüfe nach dem Update mit uname -r, ob die neue Kernel-Version tatsächlich aktiv ist, und starte bei Bedarf neu.

KERNEL-ALARM! CISA bestätigt aktive Angriffe auf drei Linux-Lücken — Frist läuft bereits MORGEN ab