Ядро Linux приближается к 2000 уязвимостей за релиз

Ещё пару лет назад речь шла примерно о 500 CVE на релиз. Потом планка ушла за 1000, за 1500, а теперь мы почти у отметки в 2000. Об этом рассказал Грег Кроа-Хартман — один из ключевых мейнтейнеров ядра — перед выступлением на Kernel Recipes 2026.

Самое любопытное: код при этом почти не разросся. Ядро по-прежнему держится около 40 млн строк. Изменилось другое — кто и как его проверяет.

За дело взялись AI-инструменты. Они массово сканируют код, включая старые и редко используемые драйверы, до которых руки не доходили годами. И находят баги, которые тихо лежали там всё это время.

Большинство таких дыр — низкого приоритета, но сам объём уже стал головной болью для мейнтейнеров. Побочный эффект: устаревший код теперь вычищают быстрее, ведь тянуть старые подсистемы становится всё дороже.

Вывод простой: рост CVE ≠ падение безопасности. Просто ядро стали проверять куда глубже и масштабнее.

#Linux #CVE #AI

👀 Владелец сменился, а секрет остался у старого

В Docker Hub можно было превратить личный аккаунт в организацию и назначить ей нового владельца. Вместе с аккаунтом переезжали и PAT-токены: их перепривязывали к новому пользователю, но секретное значение оставалось прежним.

Итог — тот, кто знал токен до переноса, продолжал ходить в реестр уже от имени нового владельца. В рамках прав токена это давало загрузку, публикацию и удаление образов.

В разборе CVE-2026-105445 Docker описал фикс от 30 сентября: перенос PAT попросту вырезали. Следов эксплуатации не нашли, а доступ к веб-интерфейсу и смене пароля баг не открывал.

Вывод простой: при передаче ресурса всегда отдельно проверяй судьбу всех выданных ключей. Правка строки в таблице пользователей не отбирает секрет у того, кто его уже успел скопировать.

Карты видят то, что скрыто от глаз. Загляните в расклады и знаки судьбы — здесь вы найдёте ответы на вопросы, которые давно не дают покоя.

#Docker #CVE #DevOps