На 28 октомври CISA вписа дупка в ядрото на Linux в каталога на известните активно използвани уязвимости и даде срок до 31 октомври.
Три дни. Втората дупка е във VMware ESX, срокът ѝ е 11 ноември и е от друг вид.
Факт
Фактите: на 28 октомври 2026 г. CISA добави в каталога на известните активно използвани уязвимости (KEV) два записа. CVE-2026-41709 е недостатъчно водене на дневник във VMware ESX на Broadcom: според Broadcom злонамерен администратор може да извърши определени операции, без те да бъдат записани. Broadcom я оценява като ниска, с най-висок резултат по CVSSv3 от 2,7. Срокът на CISA е 11 ноември 2026 г. Бюлетинът VMSA-2026-0006 на Broadcom е публикуван на 29 юли 2026 г. и последно обновен на 19 август 2026 г.; поправените версии са ESXi-9.1.0.0-25370933 за 9.1, ESXi-9.0.2.0100-25595025 за 9.0, ESXi80U3j-25429389 за 8.0 и 5.2.4 за VMware Cloud Foundation 5.x; заобиколно решение Broadcom не предлага. CVE-2026-46300 е дупка в ядрото на Linux, водена като липсваща инициализация на променлива. NVD я публикува на 23 май 2026 г. и я оценява с 7,8 (висока); нападателят трябва вече да е на машината, с обикновени права. Срокът на CISA е 31 октомври 2026 г. Broadcom в бюлетина си не казва, че дупката в ESX се ползва в атаки: това твърди вписването на CISA.
Дупката в ESX е ниска по оценка и това трябва да се каже честно. Тя не пуска никого вътре: иска администраторски права, тоест нападателят вече трябва да е вътре. Дава му да направи нещо, без то да остане в дневника. Ниска оценка за дупка, след която не остават следи.
И двете не са нови. Бюлетинът на Broadcom е от 29 юли, а записът в NVD за дупката в ядрото е от 23 май, с препратки към кръпките. В каталога влизат чак сега.
Кръпката е стара. Срокът не е.
Защо CISA ги вписва тъкмо сега, не пише, а кой ги използва и срещу кого, също не се казва.
Ако държиш Linux сървъри, ядрото е първо: срокът на CISA е 31 октомври. Хостовете с ESX сверяваш с поправените версии в бюлетина на Broadcom, преди 11 ноември.
Източници
CISA KEV (CVE-2026-41709, CVE-2026-46300)Broadcom VMSA-2026-0006 (CVE-2026-41709)NVD (CVE-2026-46300)Визуалът към статията е генериран код-арт, без чужди изображения.