Badan Keamanan Siber dan Infrastruktur AS (CISA) telah mengumumkan bahwa tiga kerentanan kernel Linux sedang dieksploitasi secara aktif di lingkungan dunia nyata. Pada tanggal 18 September, kelemahan ini ditambahkan ke katalog Kerentanan yang Diketahui dan Dieksploitasi (KEV), yang memicu jangka waktu 72 jam bagi lembaga federal untuk menerapkan perbaikan yang sesuai, menurut Arahan BOD 26-04. Tetapi ini bukan hanya masalah bagi sektor publik: setiap organisasi yang menjalankan Linux di lingkungan produksi, mulai dari server hingga render farm, harus segera memperhatikannya.
Sementara itu, kecerdasan buatan benar-benar mengubah lanskap keamanan sumber terbuka. Di satu sisi, alat seperti GLM-5.3 telah mengungkap lebih dari seribu kerentanan baru dalam proyek-proyek penting, termasuk kernel Linux. Di sisi lain, banyaknya temuan ini membuat para pengelola kewalahan, yang hampir tidak punya waktu untuk meninjau laporan dan tambalan, yang sebagian besar sepele atau duplikat. Situasi ini telah membuat Linus Torvalds sendiri mengungkapkan rasa frustrasinya dan menerapkan langkah-langkah yang lebih ketat untuk integrasi di masa mendatang.
Tiga kerentanan yang menjadi perhatian CISA
Kerentanan CVE yang teridentifikasi adalah CVE-2025-39682, CVE-2025-39964, dan CVE-2026-53266. Kerentanan pertama, dengan skor CVSS berkisar dari 7.1 menurut NVD hingga 9.8 menurut SecurityWeek, terdapat pada implementasi perangkat lunak TLS (net/tls/tls_sw.c). Kerentanan ini dipicu ketika penyerang memproses record TLS dengan panjang nol dalam mode zero-copy, merusak penghitung referensi buffer dan mengakibatkan peristiwa use-after-free. Hal ini dapat menyebabkan berbagai masalah, mulai dari crash kernel hingga kebocoran informasi sensitif. Kerentanan ini memengaruhi versi 6.0 hingga 6.16.3 dan kandidat rilis 6.17-rc1/rc2.
Kerentanan kedua, CVE-2025-39964, terletak di antarmuka AF_ALG dari API kriptografi ruang pengguna. Ini adalah kondisi persaingan yang memungkinkan dua penulis bersamaan untuk menyisipkan data pada soket yang sama, sehingga menyebabkan keadaan internal tidak konsisten. Meskipun skor CVSS-nya bervariasi antara 3.3 (NVD), 5.5 (Red Hat), dan 7.8 (CNA), dimasukkannya dalam katalog KEV menegaskan bahwa eksploitasi tersebut nyata dan berbahaya. Terakhir, CVE-2026-53266 memengaruhi target ebt_snat dari bridge netfilter, memungkinkan penulisan di luar batas ke memori kernel saat memproses paket ARP pada buffer soket nonlinier. Dengan skor CVSS 8.8, ini merupakan vektor yang jelas untuk peningkatan hak akses lokal.
AI membanjiri pengelola kernel.
Peningkatan jumlah kerentanan yang dilaporkan bukanlah suatu kebetulan. Menurut data yang dipresentasikan oleh Greg Kroah-Hartman pada konferensi Kernel Recipes 2026, jumlah CVE yang ditambal per versi kernel telah meningkat dari sekitar 500 pada versi 6.9 hingga 6.19 menjadi lebih dari 1.000 mulai dari Linux 7.0, dan lebih dari 1.500 pada Linux 7.2. Perkiraan menunjukkan bahwa Linux 7.3 dapat melebihi 2.000. Sebagian besar peningkatan ini dikaitkan dengan penggunaan kecerdasan buatan untuk audit kode . Namun, sebagian besar temuan tersebut berprioritas rendah atau berkaitan dengan driver lama, dan banyak yang merupakan duplikat.
Beban kerja bagi para pengelola telah menjadi tidak terkendali. Linus Torvalds telah memperingatkan bahwa daftar patch keamanan kernel telah menjadi "hampir tidak terkendali." Jakub Kicinski, yang bertanggung jawab atas subsistem jaringan, bahkan menyatakan, "Kami benar-benar kewalahan." Lebih lanjut, Torvalds mengeluh bahwa banyak perbaikan tiba pada tahap pengembangan yang sudah lanjut, seperti rilis Linux 7.1 RC5, padahal seharusnya diajukan lebih awal. Dia berjanji untuk lebih tegas dan akan menolak permintaan pull request yang tidak menawarkan nilai nyata. Situasi ini tidak hanya memengaruhi stabilitas tetapi juga dapat membahayakan keamanan, karena patch yang tepat dapat hilang di tengah banyaknya patch lain.
Rekomendasi dan langkah-langkah mitigasi untuk administrator
Menghadapi gelombang kerentanan ini, administrator sistem harus bertindak cepat dan tidak hanya mengandalkan patch resmi. Untuk ketiga CVE CISA, prioritasnya adalah memperbarui kernel ke versi distribusi yang telah di-patch. Dalam kasus kerentanan af_unix yang baru-baru ini diidentifikasi (CVE-2026-80521), disarankan juga untuk menerapkan patch yang sesuai, karena memengaruhi cabang 6.1, 6.6, dan yang lebih baru, dimulai dengan 6.10. Namun, tidak selalu memungkinkan untuk segera memulai ulang node; oleh karena itu, penerapan kontrol kompensasi direkomendasikan.
Untuk CVE-2026-53266, modul ebtables dapat dinonaktifkan menggunakan skrip yang membongkar modul residen dan kemudian memblokir pemuatannya di masa mendatang di /etc/modprobe.d/. Untuk dua kerentanan lainnya, menggunakan eBPF dengan Falco dapat mendeteksi upaya eksploitasi sejak dini, dan kebijakan seccomp dapat memblokir syscall yang terlibat. Selain itu, mengaktifkan namespace pengguna dengan containerd v2.2+ dan Kubernetes CRI v1.30, menggunakan hostUsers: false, mengurangi dampak peningkatan hak akses. Langkah-langkah ini, bersama dengan pemantauan node secara terus menerus, memberikan waktu hingga reboot dengan kernel yang telah ditambal dapat dilakukan.
Terakhir, penting untuk diingat bahwa AI juga membantu membersihkan kode usang dan menghapus subsistem lama, yang dapat mengurangi potensi serangan dalam jangka panjang. Meskipun situasi saat ini kacau, ekosistem kernel sedang beradaptasi. Administrator harus tetap mendapatkan informasi, berlangganan daftar pantauan keamanan, dan memprioritaskan kerentanan yang tercantum dalam katalog resmi seperti KEV. Kelincahan dalam melakukan patching dan penggunaan pertahanan berlapis, kini lebih dari sebelumnya, sangat penting untuk melindungi lingkungan produksi berbasis Linux.
