1. In oktober 2026 zijn er beveiligingslekken in Linux-gerelateerde software gemeld via openbare mailinglijsten. Technische details werden bekend voordat er oplossingen beschikbaar waren.
2. Twee kritieke kwetsbaarheden, gemeld door Trend Micro's Zero Day Initiative (ZDI), hebben een CVSS-score van 9.0 en maken externe code-uitvoering mogelijk op systemen die de KSMBD-bestandsserver van de Linux-kernel gebruiken. Deze kwetsbaarheden zijn gerelateerd aan ZDI-CAN-33774 (een race condition die leidt tot externe code-uitvoering door een mismatch in de afhandeling van netwerkverzoeken) en ZDI-CAN-33549 (een integer underflow in het SMB Direct-pad van KSMBD dat leidt tot buffer overflows).
3. KSMBD is een optionele SMB-bestandsserver die is ingebouwd in de Linux-kernel en is gescheiden van Samba, de veelgebruikte software voor het delen van bestanden. Meldingen hebben daarom geen directe invloed op Linux-systemen die alleen Samba gebruiken. Het uitschakelen van KSMBD indien niet nodig, vermindert de blootstelling aan deze twee kritieke kwetsbaarheden.
4. Naast de kritieke kwetsbaarheden, beschrijven andere meldingen risico's op lokale privilege-escalatie en informatieverlies. Dit betreft onder andere ZDI-CAN-33367 (een probleem in de skb_zerocopy netwerkcode dat lokale privilege-escalatie mogelijk maakt) en ZDI-CAN-34076 (een niet-geïnitialiseerde resource in de NVMe over Fabrics targetcode die informatieverlies kan veroorzaken).
5. Een andere melding, ZDI-CAN-34068, betreft een out-of-bounds write in de grafische driver van VMware, wat ook kan leiden tot lokale privilege-escalatie.
6. Een melding van een dag eerder, ZDI-CAN-32005, betreft een stack-buffer overflow in de afhandeling van zoekdomein TCP-queries door ConnMan, een netwerkbeheerservice die geen onderdeel is van de Linux-kernel.
7. De meldingen verschenen op openbare lijsten, waarbij Greg Kroah-Hartman, beheerder van de Linux-kernel, zich afvroeg waarom sommige inzendingen zonder patches naar deze lijsten werden gestuurd. Verslaggeving over de openbaarmaking wijst op bijgewerkt kernelbeleid dat AI-gevonden bugs als reeds openbaar behandelt. Op 23 oktober 2026 had ZDI de routering nog niet publiekelijk toegelicht, waardoor onduidelijk bleef of dit een vergissing was.
8. Een oplossing voor de KSMBD-kwetsbaarheden werd naar verluidt opgenomen in een ontwikkelingsbranch voor Linux 7.5, maar dit impliceert niet dat de oplossing reeds beschikbaar was in uitgebrachte of distributiekernels. Op 23 oktober 2026 was er geen naam voor een oplossing in de hoofd-kernel of integratie-tree voor beide kritieke kwetsbaarheden, en er was nog geen CVE-identifier toegewezen.
9. Beheerders wordt geadviseerd om adviezen van hun distributie te volgen en patches te installeren zodra ze beschikbaar komen. Indien KSMBD nodig is, wordt geadviseerd om bestandsshares weg te houden van onvertrouwde netwerken, de toegang tot shares te controleren en beveiligingsupdates van de Linux-distributie te volgen. Openbare meldingen van kwetsbaarheden vóór de beschikbaarheid van een oplossing kunnen druk uitoefenen op beheerders en systeemoperators.