CVE-2026-46300: vulnerabilità del kernel Linux inclusa nel catalogo CISA KEV

CVE-2026-46300: vulnerabilità del kernel Linux inclusa nel catalogo CISA KEV

In breve

CVE-2026-46300 è una vulnerabilità del kernel Linux, pubblicata il 23 maggio 2026, con un punteggio CVSS di 7.8 (gravità alta) [1]. È inclusa nel catalogo CISA KEV delle vulnerabilità note sfruttate [2]. Riguarda sistemi basati su Linux, inclusi ambienti Red Hat e Siemens [1]. Se la tua azienda gestisce server, apparati di rete o dispositivi industriali con Linux, la cosa da fare oggi è individuare quali versioni del kernel hai in produzione e dare priorità all'aggiornamento non appena la patch sia disponibile per la tua distribuzione.

Che cos'è e perché è importante

Il difetto si trova nella gestione interna dei pacchetti di rete del kernel Linux, in particolare nella funzione che unisce (coalesce) i frammenti di dati in memoria durante l'elaborazione del traffico [1]. Secondo la descrizione ufficiale, quando il kernel fonde frammenti contrassegnati come "condivisi" (shared-frag) provenienti da buffer di rete, tale contrassegno può andare perso durante la fusione [1]. Questo compromette un controllo utilizzato dalle routine successive, in particolare l'elaborazione ESP (il componente di IPsec che cifra e decifra il traffico), per decidere se è possibile scrivere su quei dati senza copiarli prima [1]. Il risultato è che, in determinate circostanze, il sistema potrebbe finire per modificare direttamente sul posto dati supportati dalla cache delle pagine del sistema stesso, invece di trattarli come dati esterni da non toccare direttamente [1].

Si tratta di un problema di integrità dei dati a livello di kernel, non di un semplice difetto applicativo: riguarda uno strato comune a praticamente qualsiasi servizio che funzioni su Linux e utilizzi cifratura di rete di tipo IPsec/ESP. Il radar di intelligence di OCIRIA classifica questa vulnerabilità nella categoria "Kernel Linux" e le assegna una valutazione interna di gravità critica, superiore alla classificazione "alta" di NVD, proprio per la sua portata potenziale negli ambienti di produzione che dipendono da questo tipo di cifratura di rete .

Chi è interessato

I produttori/progetti individuati finora sono Linux (il progetto del kernel), Red Hat e Siemens [1]. In pratica, questo può riguardare qualsiasi organizzazione che gestisca server, router, bilanciatori di carico, firewall o dispositivi industriali basati su Linux, in particolare quelli che utilizzano IPsec/ESP per cifrare le comunicazioni tra sedi, con fornitori o tra componenti interni. Non è un problema limitato a un unico prodotto commerciale: trattandosi del kernel, il suo impatto dipende dalla distribuzione, dalla versione e dalla configurazione di rete di ciascun sistema.

Come sapere se sei vulnerabile

Non tutte le versioni del kernel Linux sono necessariamente interessate nello stesso modo, e la struttura dei dati verificata non include un elenco chiuso di versioni specifiche, perciò è prudente verificarlo caso per caso nel proprio inventario:

• Verifica quale versione del kernel esegue ogni server, firewall o dispositivo Linux, in particolare quelli che gestiscono traffico cifrato con IPsec/ESP.
• Consulta il bollettino di sicurezza della tua distribuzione (Red Hat o altra) per confermare se la tua versione specifica è interessata e se è già disponibile una patch [1].
• Se utilizzi apparecchiature Siemens che eseguono Linux embedded, consulta gli avvisi di sicurezza del produttore per quella linea di prodotto [1].
• Verifica inoltre la tua superficie esposta: quali servizi con componenti Linux sono visibili dall'esterno della rete interna, poiché questo condiziona quanto sia urgente agire in ciascun caso.

Come proteggersi

1. Prima l'inventario: individua tutti i sistemi Linux in produzione e la relativa versione del kernel prima di decidere qualsiasi azione.

2. Dai priorità alla patch: applica gli aggiornamenti di sicurezza del kernel non appena disponibili per la tua distribuzione, seguendo la raccomandazione di verificare le versioni e applicare le patch senza ritardi .

3. Rivedi la configurazione IPsec/ESP: se la tua organizzazione dipende da VPN o cifratura di rete basata su IPsec, verifica con il tuo team infrastrutturale se il traffico passa per percorsi di codice interessati da questo difetto.

4. Segmenta e limita l'esposizione: mentre viene distribuita la patch, riduci l'esposizione dei sistemi più critici verso reti non affidabili.

5. Monitora gli avvisi ufficiali: segui i bollettini della tua distribuzione Linux e, se applicabile, di Siemens, perché le patch specifiche possono essere pubblicate in modo scaglionato.

Domande frequenti

È una vulnerabilità nuova? È stata pubblicata il 23 maggio 2026 [1].

Viene sfruttata attivamente? Figura nel catalogo CISA KEV, che include solo le vulnerabilità per le quali CISA dispone di evidenze di sfruttamento [2].

Quanto è grave? NVD la classifica come gravità alta, con CVSS 7.8 [1]; il radar interno di OCIRIA la valuta come critica per la sua portata nelle infrastrutture di produzione .

Riguarda solo i server Linux "puri"? Non necessariamente: sono stati individuati come interessati anche ambienti Red Hat e apparecchiature Siemens [1], per cui è opportuno controllare anche dispositivi industriali o embedded basati su Linux.

Cosa devo fare se non so se sono interessato? Inizia con l'inventario delle versioni del kernel e consulta i bollettini ufficiali della tua distribuzione; è il modo più affidabile per confermare se un sistema specifico necessita di una patch.

Fonti

• [1] https://nvd.nist.gov/vuln/detail/CVE-2026-46300
• [2] https://raw.githubusercontent.com/cisagov/kev-data/develop/known_exploited_vulnerabilities.json