Volgens berichtgeving verschenen op 21 en 22 oktober 2026 zes meldingen over kwetsbaarheden in de Linux-kernel van Trend Micro’s Zero Day Initiative (ZDI) op de openbare Linux Kernel Mailing List (LKML), in plaats van via het private beveiligingskanaal. De plaatsing werd als vermoedelijk onbedoeld beschreven. De genoemde gevolgen zijn mogelijke impactscenario’s, geen beschrijving van aangetoond misbruik.
Wat er op de openbare LKML verscheen
Vijf meldingen verschenen op 22 oktober. ZDI-CAN-32005 was volgens de berichtgeving een dag eerder geplaatst, op 21 oktober. Linux-kernelbeheerder Greg Kroah-Hartman stelde volgens die berichtgeving vragen over de keuze voor de openbare mailinglijst.
Zes meldingen, zes verschillende problemen
De meldingen betroffen verschillende kernelonderdelen. Twee kregen volgens de berichtgeving een CVSS-score van 9,0: ZDI-CAN-33549 en ZDI-CAN-33774. CVSS is een systeem om de ernst van beveiligingsproblemen te beoordelen.
| ZDI-ID | Onderdeel of beschreven probleem | Gerapporteerde mogelijke impact |
| ZDI-CAN-33549 | SMB Direct; integer-underflow | Uitvoering van code op afstand |
| ZDI-CAN-33774 | KSMBD; race condition | Uitvoering van code op afstand |
| ZDI-CAN-33367 | Netwerkcode skbuff skb_zerocopy | Lokale bevoegdheidsverhoging |
| ZDI-CAN-34068 | VMware-grafische driver VMWGFX; schrijven buiten de buffergrenzen | Lokale bevoegdheidsverhoging |
| ZDI-CAN-34076 | NVMET-code; niet-geïnitialiseerde resource | Informatieverstrekking |
| ZDI-CAN-32005 | Stackbufferoverloop in een TCP-query voor een zoekdomein | Lokale bevoegdheidsverhoging |
Een lokale bevoegdheidsverhoging betekent dat een aanvaller met toegang tot een systeem meer rechten kan proberen te krijgen. De gerapporteerde gevolgen verschillen per melding; de twee CVSS-scores van 9,0 horen uitsluitend bij de problemen in SMB Direct en KSMBD.
Patchstatus volgens de berichtgeving van 22 oktober
Op 22 oktober was volgens de berichtgeving nog geen patch in de hoofdontwikkeltak van Linux, mainline, opgenomen. Sommige patches werden getest of stonden klaar in ontwikkeltakken met de naam -next. Voor ZDI-CAN-33549 zat een patch in een Git-tak die bedoeld was voor Linux v7.5.
Wat de kernelrichtlijn zegt over AI-vondsten
De beveiligingsrichtlijn van het Linux-kernelproject zegt dat ontdekkingen met hulp van AI als openbaar moeten worden behandeld. De richtlijn raadt ook af om een reproduceerbaar voorbeeld publiek te plaatsen en adviseert een melding privé te doen als onduidelijk is of openbaarmaking passend is. Dit is algemene richtlijn voor het melden van kwetsbaarheden, geen verklaring voor hoe de zes ZDI-meldingen op de openbare lijst terechtkwamen.
