Пентест WEB: практический курс для начинающих
В минувшие воскресенье и понедельник команда ядра Linux опубликовала сразу 432 новых идентификатора CVE. Такое количество уязвимостей вызвало беспокойство среди участников сообщества, так как практически невозможно вручную оценить сотни проблем и решить, какие патчи нужно устанавливать в первую очередь.
В рассылке OSS-SEC архитектор по информационной безопасности Akamai Technologies Ян Шауман (Jan Schaumann) обратил внимание на проблему большого количества уязвимостей в ядре. Он отметил, что система CVE и раньше плохо подходила для отслеживания правок в ядре, которые влияют на безопасность, а нынешняя волна багов наглядно демонстрирует несостоятельность подхода с поштучной приоритизацией проблем.
«Можно попытаться передать весь этот поток LLM и попросить расставить приоритеты. Но если сегодня модель выдаст десяток проблем, а завтра еще 25, особой пользы от этого не будет», — пишет Шауман.
В качестве альтернативы он предложил подождать несколько недель и потом сосредоточиться на тех уязвимостях, которые окажутся действительно опасными. Также Шауман пишет, что можно еженедельно обновлять весь парк Linux-машин, но подчеркивает, что оба эти подхода плохо подойдут крупным организациям.
Эксперт пояснил журналистам издания The Register, что пока единственным разумным решением выглядит автоматическая и регулярная установка всех изменений за определенный период. Однако на практике компании зависят от долгих процессов контроля качества, поэтапного развертывания обновлений и медленных циклов разработки. Кроме того, некоторые контракты на длительную поддержку могут в целом исключать автоматические обновления.
В свою очередь команда nixCraft предполагает, что одной из причин резкого роста количества CVE стал поиск багов с помощью ИИ. Так, еще в мае 2026 года Линус Торвальдс (Linus Torvalds) писал, что рассылка, посвященная безопасности ядра, стала «практически неуправляемой» из-за множества отчетов, подготовленных с помощью ИИ.
Журналисты подчеркивают, что CVE в ядре Linux не обязательно означают критические уязвимости. К примеру, как недавно объяснял старший мейнтейнер Грег Кроа-Хартман (Greg Kroah-Hartman), ядро работает на таком уровне, что почти любой баг, способный повлиять на работающую систему, может быть классифицирован как уязвимость. Разработчики проверяют исправления, попадающие в стабильные ветки, и присваивают CVE каждой проблеме, которая может затрагивать конфиденциальность, целостность или доступность системы.
При этом Кроа-Хартман отмечал, что качество ИИ-отчетов в последние месяцы заметно выросло, и прогнозировал, что в будущем их число и нагрузка на мейнтейнеров продолжат увеличиваться.
Следует отметить, что похожая ситуация с уязвимостями в этом месяце сложилась и у компании Microsoft. В июле 2026 года специалисты Microsoft подготовили рекордное количество патчей для 622 уязвимостей.
В компании прямо связывали рост числа исправлений с применением ИИ для поиска и анализа багов. В частности, эксперты рассказывали, что система MDASH сканирует критически важные бинарники Windows, а несколько ИИ-моделей проверяют потенциальные уязвимости перед ручной верификацией.
