Według Next.ink 21 i 22 października sześć raportów o podatnościach przypisanych Trend Micro Zero Day Initiative wysłano na listę bezpieczeństwa jądra Linux, a ich kopie trafiły również na publiczne listy rozwojowe: linux-kernel, linux-cifs, netdev i dri-devel. Opisy zawierały ścieżki kodu i ślady KASAN. Next.ink zaznaczył, że określenie publikacji jako przypadkowej jest sporne.
Dwa zgłoszenia dotyczące KSMBD
KSMBD, serwer SMB działający w jądrze Linux, był tematem dwóch zgłoszeń ocenionych na 9,0 w skali CVSS 3.1. Dotyczyły identyfikatorów ZDI-CAN-33549 i ZDI-CAN-33774.
W przypadku ZDI-CAN-33549 opis dotyczył błędu niedomiaru liczby całkowitej w ścieżce SMB Direct. Zgłoszone warunki obejmowały interfejs obsługujący RDMA, udział KSMBD umożliwiający zapis oraz klienta negocjującego SMB Direct. Funkcja SMB Direct jest opcjonalna i domyślnie wyłączona.
ZDI-CAN-33774 dotyczyło wyścigu podczas przetwarzania pakietów SMB1 i SMB2. Zgłoszenie opisywało możliwość zdalnego wykonania kodu. Według opisu atakujący musiał mieć dostęp do udziału, ale nie potrzebował autoryzacji.
Pozostałe zgłoszone problemy
Wśród pozostałych raportów ZDI-CAN-33367 dotyczyło błędu w kodzie sieciowym skb_zerocopy, któremu przypisano możliwość lokalnego podniesienia uprawnień. W ZDI-CAN-34068 opisano zapis poza granicami bufora w sterowniku wirtualnej karty graficznej VMware vmwgfx, również z możliwym lokalnym podniesieniem uprawnień. ZDI-CAN-34076 dotyczyło niezainicjowanego zasobu w sterowniku nvmet i możliwości ujawnienia informacji.
Zgłoszone skutki obejmowały więc zdalne wykonanie kodu, lokalne podniesienie uprawnień i ujawnienie informacji. Są to opisy potencjalnych następstw podatności.
Co mówią wytyczne jądra o zgłoszeniach wspomaganych przez AI
Oficjalne wytyczne bezpieczeństwa jądra Linux mówią, że błędy wykryte z pomocą AI należy traktować jako publiczne. Jednocześnie odradzają publiczne udostępnianie reproduktora, czyli materiału pozwalającego odtworzyć błąd.
Zgłoszenie powinno zawierać wersję jądra lub identyfikator commitu, opis problemu, reproduktor albo informację o jego statusie oraz warunki wyzwalające błąd. Wytyczne przewidują też weryfikację zgłoszenia i test proponowanej poprawki.
Doniesienia o poprawkach dotyczyły gałęzi rozwojowych
23 października 2026 r. PC Gamer informował o poprawce dla ZDI-CAN-33549 w gałęzi Git przeznaczonej dla Linux v7.5. Wspomniał również o poprawkach testowanych lub oczekujących w gałęziach beta albo -next. Były to prace w gałęziach rozwojowych, a nie informacja o wydaniu aktualizacji przez konkretną dystrybucję.
