Das BSI warnt mit einer Sicherheitsmeldung vor mehreren hochgefährlichen Schwachstellen im Linux‑Kernel mit einem zusammengefassten CVSS-Wert von 8.6. Die Schwachstelle ermöglicht entfernten, anonymen Angreifern unter anderem Denial‑of‑Service‑Attacken. Oracle reagiert mit dem Security‑Advisory ELSA‑2026‑50372 und liefert einen wichtigen Kernel‑Patch für Oracle Linux aus.
Das Sicherheitsteam des BSI, das CERT hat mit der Meldung WID‑SEC‑2025‑1653 auf mehrere Schwachstellen im Linux‑Kernel hingewiesen. Demnach kann ein entfernter, nicht authentisierter Angreifer mehrere Kernel‑Lücken ausnutzen, um Systeme in einen Denial‑of‑Service‑Zustand zu versetzen oder andere nicht näher spezifizierte Angriffe durchzuführen. Die Liste der genannten CVEs ist sehr lang, da die Schwachstellen viele Linux‑Distributionen betreffen, wie von Suse, IBM, Red Hat oder Oracle.
Viele Linux-Kernel-Updates stehen bereit
Parallel dazu veröffentlicht Oracle das Security‑Advisory ELSA‑2026‑50372 für den Unbreakable Enterprise Kernel (UEK) seiner Enterprise‑Distributionen. Das Update mit dem Impact‑Level „IMPORTANT“ vom 2. Juli 2026 bringt neue Kernel‑Pakete der Reihe 6.12.0‑204.92.4.2 für Oracle Linux 9 und 10 und schließt eine große Zahl von Bugs und Sicherheitslücken in Netzwerk‑Stack, Virtualisierung, Speicher‑Subsystemen und weiteren Kernel‑Komponenten. Unter den explizit hervorgehobenen Schwachstellen finden sich etwa CVE‑2026‑46331 (net/sched pedit‑Bug, der zu Page‑Cache‑Korruption führen kann), CVE‑2026‑46242 (Use‑After‑Free in eventpoll/ep_remove) und CVE‑2026‑52943 (Fehler bei zerocopy‑Referenzen im skbuff‑Handling) sowie die Arm‑Errata‑Mitigation CVE‑2025‑10263 für verschiedene arm64‑CPUs.
Systeme sollten auf die von ELSA‑2026‑50372 genannten UEK‑Versionen aktualisiert werden, um die behobenen Kernel‑Schwachstellen zu schließen. Da der CERT‑Bund in WID‑SEC‑2025‑1653 ebenfalls vor Kernel‑Lücken mit potenziell gravierenden Auswirkungen wie Denial‑of‑Service warnt, sollten Unternehmen ihre eingesetzten Distributionen und Kernel‑Zweige gezielt gegen beide Advisory‑Stände prüfen.
B2B CYBER SECURITY hatte erst kürzlich über weitere BSI‑Warnungen zu mehreren Schwachstellen im Linux‑Kernel berichtet, etwa über WID‑SEC‑2026‑2077 mit einem CVSS‑Basiswert von 8.6 („hoch“), der unter anderem Speicherverwaltung, Netzwerk‑Stack und weitere Subsysteme betrifft. Die neuen Hinweise von CERT‑Bund und Oracle zeigen, dass sich die Häufung von Kernel‑Advisories fortsetzt und Kernel‑Updates in der Patch‑Strategie von Unternehmen höchste Priorität behalten müssen.
Mehr bei BSI.Bund.de
Über das Bundesamt für Sicherheit in der Informationstechnik (BSI) Das Bundesamt für Sicherheit in der Informationstechnik (BSI) ist die Cyber-Sicherheitsbehörde des Bundes und Gestalter einer sicheren Digitalisierung in Deutschland. Das Leitbild: Das BSI als die Cyber-Sicherheitsbehörde des Bundes gestaltet Informationssicherheit in der Digitalisierung durch Prävention, Detektion und Reaktion für Staat, Wirtschaft und Gesellschaft.