Między 21 a 22 października 2026 r. na publicznej liście mailingowej Linux Kernel Mailing List (LKML) pojawiło się sześć zgłoszeń Trend Micro Zero Day Initiative (ZDI) dotyczących luk w jądrze Linux. Zamiast na prywatną listę bezpieczeństwa trafiły na listę publiczną. Relacje opisywały to jako prawdopodobną pomyłkę. Phoronix podał, że opiekun jądra Greg Kroah-Hartman zakwestionował wysłanie zgłoszeń na publiczną listę.
Czego dotyczyło sześć zgłoszeń
Pięć zgłoszeń pojawiło się 22 października, a ZDI-CAN-32005 dzień wcześniej. Phoronix opisał następujące problemy i ich możliwe skutki:
| Identyfikator ZDI | Komponent lub opisany błąd | Raportowany możliwy skutek |
| ZDI-CAN-33549 | SMB Direct, niedomiar arytmetyczny | Zdalne wykonanie kodu |
| ZDI-CAN-33774 | KSMBD, warunek wyścigu | Zdalne wykonanie kodu |
| ZDI-CAN-33367 | Kod sieciowy skbuff skb_zerocopy | Lokalna eskalacja uprawnień |
| ZDI-CAN-34068 | Sterownik graficzny VMware VMWGFX, zapis poza zakresem pamięci | Lokalna eskalacja uprawnień |
| ZDI-CAN-34076 | Niezainicjalizowany zasób w kodzie NVMET | Ujawnienie informacji |
| ZDI-CAN-32005 | Przepełnienie bufora stosu w zapytaniu TCP dotyczącym domeny wyszukiwania | Lokalna eskalacja uprawnień |
Według Phoronix zgłoszenia ZDI-CAN-33549 i ZDI-CAN-33774 otrzymały ocenę 9,0 w skali CVSS, służącej do oceny powagi luk. W obu opisach wskazano możliwość zdalnego wykonania kodu.
Stan poprawek opisywany 22 października
Phoronix podał 22 października 2026 r., że w chwili publikacji żadna poprawka nie trafiła do głównej gałęzi jądra, czyli mainline. Część poprawek była testowana lub oczekiwała w gałęziach rozwojowych -next. Poprawka dotycząca ZDI-CAN-33549 znajdowała się w gałęzi Git przeznaczonej dla Linux v7.5.
Ogólne wytyczne projektu Linux dotyczące zgłoszeń wspomaganych przez AI
Dokumentacja projektu Linux dotycząca błędów bezpieczeństwa mówi, że błędy wykryte z pomocą AI należy traktować jako publiczne. Odradza też publiczne udostępnianie reproduktora, czyli materiału pozwalającego odtworzyć błąd, i zaleca prywatne zgłoszenie w razie wątpliwości, czy problem kwalifikuje się do publicznego ujawnienia.
