美国网络安全和基础设施安全局 (CISA) 宣布，三个 Linux 内核漏洞正在实际环境中被积极利用。9 月 18 日，这些漏洞被添加到已知已利用漏洞 (KEV) 目录中，根据 BOD 26-04 号指令，联邦机构必须在 72 小时内实施相应的修复。但这不仅仅是公共部门的问题：任何在生产环境中运行 Linux 的组织，从服务器到渲染农场，都应立即注意。
与此同时，人工智能正在彻底改变开源安全格局。一方面，像 GLM-5.3 这样的工具已经在包括 Linux 内核在内的关键项目中发现了上千个新的漏洞。另一方面，如此大量的漏洞发现令维护者不堪重负，他们几乎没有时间审查报告和补丁，而其中许多报告和补丁要么无关紧要，要么重复提交。这种情况甚至让 Linus Torvalds 本人也表达了不满，并要求在未来的集成中实施更严格的措施。
CISA关注的三大漏洞
已识别的 CVE 编号为 CVE-2025-39682、CVE-2025-39964 和 CVE-2026-53266。其中，CVE-2025-39682 的 CVSS 评分根据 NVD 的评级为 7.1，根据 SecurityWeek 的评级为 9.8，该漏洞存在于 TLS 的软件实现中（net/tls/tls_sw.c）。当攻击者以零拷贝模式处理零长度的 TLS 记录时，该漏洞会被触发，导致缓冲区引用计数器损坏，从而引发释放后使用 (use-after-free) 事件。这可能导致内核崩溃，甚至泄露敏感信息。该漏洞影响 6.0 至 6.16.3 版本以及 6.17-rc1/rc2 候选版本。
第二个漏洞 CVE-2025-39964 位于用户空间加密 API 的 AF_ALG 接口中。这是一个竞争条件漏洞，允许两个并发写入器在同一套接字上交错写入数据，导致内部状态不一致。尽管其 CVSS 评分在 3.3 (NVD)、5.5 (Red Hat) 和 7.8 (CNA) 之间波动，但它被列入 KEV 目录证实了该漏洞真实存在且具有危险性。最后，CVE-2026-53266 影响 netfilter 网桥的 ebt_snat 目标，允许在非线性套接字缓冲区上处理 ARP 数据包时越界写入内核内存。其 CVSS 评分为 8.8，显然是一个可用于本地权限提升的攻击向量。
人工智能让内核维护者不堪重负
漏洞报告数量的增加并非偶然。根据 Greg Kroah-Hartman 在 Kernel Recipes 2026 大会上公布的数据，每个内核版本修复的 CVE 数量已从 6.9 到 6.19 版本中的约 500 个增加到 Linux 7.0 开始的 1.000 多个，Linux 7.2 则超过 1.500 个。预测显示，Linux 7.3 的 CVE 数量可能超过 2.000 个。这一增长很大程度上归功于人工智能在代码审计中的应用。然而，大多数发现的漏洞优先级较低，或与旧驱动程序相关，而且许多漏洞是重复的。
维护人员的工作量已不堪重负。Linus Torvalds 此前已警告称，内核的安全补丁列表已“几乎完全无法管理”。负责网络子系统的 Jakub Kicinski 甚至表示：“我们完全不堪重负。”此外，Torvalds 还抱怨说，许多修复程序在开发后期才提交，例如 Linux 7.1 RC5 版本，而这些修复程序本应更早提出。他承诺将采取更严格的措施，拒绝那些没有实际价值的 pull request。这种情况不仅影响系统稳定性，还可能危及安全性，因为真正需要的补丁可能会被淹没在大量无关的补丁中。
针对管理人员的建议和缓解措施
面对这波漏洞浪潮，系统管理员必须迅速采取行动，而不能仅仅依赖官方补丁。对于 CISA 公布的三个 CVE 漏洞，首要任务是将内核更新到当前发行版的已打补丁版本。对于最近发现的 af_unix 漏洞 (CVE-2026-80521)，也建议应用相应的补丁，因为它会影响 6.1、6.6 及更高版本（从 6.10 开始）。然而，并非总是能够立即重启节点；因此，建议实施相应的补偿控制措施。
对于 CVE-2026-53266，可以使用脚本禁用 ebtables 模块。该脚本会卸载驻留模块，然后阻止其在 /etc/modprobe.d/ 目录下再次加载。对于另外两个漏洞，使用 eBPF 和 Falco 可以及早检测到攻击尝试，而 seccomp 策略可以阻止相关的系统调用。此外，启用 containerd v2.2+ 和 Kubernetes CRI v1.30 的用户命名空间（使用 hostUsers: false）可以降低权限提升的影响。这些措施，加上持续的节点监控，可以为使用已修补内核重启争取时间。
最后，值得注意的是，人工智能也在帮助清理过时的代码并移除遗留子系统，从长远来看，这可以缩小攻击面。尽管当前形势混乱，但内核生态系统正在不断适应。管理员应保持信息畅通，订阅安全监控列表，并优先处理 KEV 等官方目录中列出的漏洞。如今，对于保护基于 Linux 的生产环境而言，敏捷的补丁更新和纵深防御比以往任何时候都更加重要。
