Dein CVE-Scanner dürfte diese Woche glühen: Das Linux-Kernel-Sicherheitsteam hat am Sonntag und Montag 432 CVE-Meldungen über die Mailingliste linux-cve-announce rausgehauen — manche Zählungen kommen sogar auf 440 innerhalb von 24 Stunden. Ein neuer Rekord für ein Projekt, das ohnehin schon als CVE-Maschine gilt.
DARUM regnet es plötzlich Lücken
Seit Anfang 2024 ist der Linux-Kernel seine eigene CVE-Vergabestelle (CNA) — und verfolgt dabei eine radikale Linie: Praktisch jeder Fix, der auch nur theoretisch sicherheitsrelevant sein könnte, bekommt eine Nummer. Die Kernel-Entwickler argumentieren seit Jahren, dass sich bei einem Projekt dieser Größe nicht seriös vorhersagen lässt, welcher Bug später ausgenutzt wird.
Dazu kommt ein Verdacht, den die Betreiber des nixCraft-Accounts offen aussprechen: KI-gestützte Bug-Reports könnten die Flut zusätzlich antreiben. Das Thema ist nicht neu — schon im Juni sorgten KI-Bots auf der Kernel-Sicherheitsliste für Chaos. Werkzeuge wie Googles Big Sleep finden inzwischen echte Fehler in Serie — und jeder davon kann eine CVE werden.
EXPERTEN-KLARTEXT: Priorisieren ist aussichtslos
Jan Schaumann, Chef-Sicherheitsarchitekt bei Akamai, bringt es trocken auf den Punkt: Dieser Ansturm zeige, dass es nicht machbar sei, einzelne Kernel-Änderungen zu priorisieren. Mit anderen Worten: Wer versucht, 432 Meldungen einzeln zu bewerten, hat schon verloren.
Die gute Nachricht steckt im Kleingedruckten: Eine Kernel-CVE erscheint normalerweise erst, wenn der Fix bereits fertig ist und in den Stable-Zweigen liegt. Die Masse der 432 Lücken ist also schon gepatcht — du musst die Patches nur noch abholen.
So gehst du JETZT richtig damit um
- Stable-Updates fahren: Halte deine Distribution aktuell — Debian, Ubuntu, Fedora und Co. rollen die Kernel-Fixes gesammelt aus. Ein zeitnahes Update-Fenster pro Woche schlägt jede Einzelfall-Analyse.
- Scanner-Alarme einordnen: Wenn dein Vulnerability-Scanner jetzt hunderte Kernel-CVEs meldet, ist das kein Grund zur Panik — entscheidend ist die Kernel-Version, nicht die CVE-Zahl.
- Reboot nicht vergessen: Kernel-Updates wirken erst nach dem Neustart. Für Server ohne Wartungsfenster lohnt ein Blick auf Livepatch-Angebote.
FAZIT
Die 432 CVEs sind weniger ein Sicherheits-Notfall als ein Systemproblem: Die CVE-Maschinerie skaliert nicht mit dem Tempo, in dem Software heute Fehler findet und fixt. Für dich als Admin oder Homelabber bleibt die Strategie simpel — aktuell bleiben, neu starten, weiterleben.
Häufige Fragen
Muss ich jetzt 432 Lücken einzeln prüfen?
Warum produziert Linux so viele CVEs?
Ist mein Server gerade angreifbar?
Welche Kernel-Versionen bekommen die Fixes?
Quellen: The Register, Slashdot, GBHackers