Am 21. und 22. Oktober 2026 erschienen sechs der Trend Micro Zero Day Initiative (ZDI) zugeschriebene Meldungen zu Linux-Kernel-Sicherheitslücken auf der öffentlichen Linux Kernel Mailing List (LKML) statt über den privaten Sicherheitskanal. Die Berichterstattung beschrieb die Veröffentlichung als offenbar versehentlich. Die Meldungen nannten mögliche Auswirkungen, darunter die Ausführung von Schadcode aus der Ferne und eine lokale Rechteausweitung.
Sechs Meldungen auf der öffentlichen LKML
Phoronix und ADSLZone berichteten am 22. Oktober 2026 über die sechs ZDI-Meldungen. Fünf davon erschienen laut Phoronix am 22. Oktober; ZDI-CAN-32005 war demnach bereits am 21. Oktober auf der Mailingliste veröffentlicht worden. Phoronix zufolge hinterfragte Linux-Maintainer Greg Kroah-Hartman die öffentliche Einreichung.
Welche Linux-Komponenten die Meldungen betreffen
Phoronix ordnete den sechs Kennungen die folgenden Komponenten, Fehlerarten und möglichen Auswirkungen zu:
| ZDI-Kennung | Komponente oder beschriebener Fehler | Berichtete mögliche Auswirkung |
| ZDI-CAN-33549 | SMB Direct, Ganzzahl-Unterlauf | Ausführung von Schadcode aus der Ferne |
| ZDI-CAN-33774 | KSMBD, Race Condition | Ausführung von Schadcode aus der Ferne |
| ZDI-CAN-33367 | Netzwerkcode skbuff skb_zerocopy | Mögliche lokale Rechteausweitung |
| ZDI-CAN-34068 | VMware-Grafiktreiber VMWGFX, Schreiben außerhalb des zulässigen Speicherbereichs | Mögliche lokale Rechteausweitung |
| ZDI-CAN-34076 | NVMET-Code, nicht initialisierte Ressource | Offenlegung von Informationen |
| ZDI-CAN-32005 | TCP-Abfrage für eine Suchdomain, Überlauf eines Stack-Puffers | Mögliche lokale Rechteausweitung |
Phoronix bewertete ZDI-CAN-33549 und ZDI-CAN-33774 jeweils mit CVSS 9,0. CVSS ist ein Schema zur Bewertung des Schweregrads von Sicherheitslücken. Bei den übrigen vier Meldungen nannte Phoronix in diesem Zusammenhang keinen CVSS-Wert.
Was der Patch-Stand am 22. Oktober war
Phoronix berichtete am 22. Oktober 2026, dass zu diesem Zeitpunkt noch kein Fix im Mainline-Kernel angekommen war. Einige Patches befanden sich demnach im Test oder waren in -next-Zweigen vorgemerkt. Für ZDI-CAN-33549 lag laut Phoronix ein Patch in einem Git-Zweig, der für Linux v7.5 vorgesehen war.
Was die Kernel-Leitlinie zu KI-Funden sagt
Die Sicherheitsdokumentation des Linux-Kernel-Projekts behandelt den allgemeinen Umgang mit KI-gestützt gefundenen Fehlern: Solche Funde sollen als öffentlich gelten, ein Reproducer soll nicht öffentlich veröffentlicht werden. Wer unsicher ist, ob ein Fehler öffentlich gemeldet werden kann, soll ihn privat melden. Diese Leitlinie ist eine allgemeine Vorgabe und keine Erklärung für die öffentliche Einreichung der sechs ZDI-Meldungen.
