LSN-0122-1: live patch per decine di falle use-after-free nel kernel Ubuntu

Canonical ha pubblicato il 7 ottobre 2026 l'avviso LSN-0122-1, un Kernel Live Patch Security Notice che corregge decine di vulnerabilità nel kernel Linux di Ubuntu. Per chi gestisce server in produzione la notizia che conta è questa: le patch si applicano tramite live patching, quindi senza il reboot che di solito serve per un aggiornamento kernel.

Cosa copre l'avviso

L'elenco dei pacchetti interessati è lungo e copre praticamente tutti i kernel usati in hosting e cloud:

• aws (>= 4.15.0-1159, >= 5.15.0-1000, >= 6.8.0-1008, >= 7.0.0-1000, >= 4.4.0-1159) e aws-6.8 (>= 6.8.0-1000)
• azure (>= 5.15.0-1000, >= 6.8.0-1007, >= 7.0.0-1000, >= 4.15.0-1114)
• gcp (>= 5.15.0-1000, >= 6.8.0-1007, >= 7.0.0-1000, >= 4.15.0-1118) e gke (>= 5.15.0-1000, >= 6.8.0-1003)
• ibm (>= 5.15.0-1000, >= 6.8.0-1005)
• oracle (>= 4.15.0-1129, >= 6.8.0-1005)
• generic-4.15, generic-4.4, generic-5.4, lowlatency e varianti HWE

Le release Ubuntu coinvolte sono 26.04 LTS, 24.04 LTS, 22.04 LTS, 20.04 LTS, 18.04 LTS e 16.04 LTS.

Le falle

Il testo dell'avviso elenca commit di fix per bug use-after-free e type confusion in sottosistemi diversi: filesystem (fs: dlm, ext4, jbd2), rete (net_sched hfsc/qfq/ets, netfilter nft_tunnel, vxlan vnifilter, geneve, page_pool, openvswitch), SMB (ksmbd, più bug UAF distinti), RDMA (rxe, iwcm), crypto (algif_hash, padata), driver Wi-Fi (brcmfmac, ath12k) e IPC (s390/pkey, ipc).

Fra questi, il bug in net_sched: hfsc: hfsc_dequeue è identificato esplicitamente con CVE-2025-37823. Per gli altri il testo della fonte Ubuntu non riporta un identificativo CVE distinto nella sezione "Details" riportata nell'avviso.

Cosa fare

Chi usa Ubuntu Pro con kernel live patching attivo riceve il fix automaticamente, senza riavviare il sistema. Chi non ha il live patching attivo deve pianificare l'aggiornamento kernel classico, con reboot, sulle versioni minime indicate sopra per il proprio flavour.

Il testo completo dell'avviso, con l'elenco di tutti i commit upstream citati, è sul sito ufficiale Ubuntu Security Notices, alla pagina LSN-0122-1.