BDU:2026-14418

высокий уровень опасности CVSS 7.5 · AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Уязвимость функции rt6_fill_node() модуля net/ipv6/route.c реализации протокола IPv6 ядра операционной системы Linux, позволяющая нарушителю вызвать отказ в обслуживании

Срок устранения — не более 7 календарных дней с момента выявления (пункт 38 Требований, приказ ФСТЭК России от 11.04.2025 № 117). Вместо устранения допускается исключить возможность использования уязвимости компенсирующей мерой. Если уязвимости нет в банке данных угроз ФСТЭК России, сведения о ней направляются во ФСТЭК России в течение 5 рабочих дней со дня выявления.

Соответствие зарубежным идентификаторам

CVE-2026-63969

Отчёты сканеров говорят на языке CVE, требования регуляторов — на языке БДУ. Перевести список из отчёта →

Как эксплуатируется

Эксплуатируется по сети без учётной записи. Худшее сочетание признаков: закрывать в первую очередь.

Способ доступа: по сети
Сложность эксплуатации: низкая
Нужны права: не нужны
Участие человека: не требуется
Область воздействия: в пределах уязвимого компонента
Конфиденциальность: нет
Целостность: нет
Доступность: высокое

Расшифровка вектора CVSS 3.x из записи банка данных.

Описание

Уязвимость функции rt6_fill_node() модуля net/ipv6/route.c реализации протокола IPv6 ядра операционной системы Linux связана с выполнением цикла с недоступным условием выхода («Бесконечный цикл»). Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании

Способ устранения

В условиях отсутствия обновлений безопасности от производителя рекомендуется придерживаться "Рекомендаций по безопасной настройке операционных систем LINUX", изложенных в методическом документе ФСТЭК России, утверждённом 25 декабря 2022 года. Использование рекомендаций: Для Linux: https://git.kernel.org/linus/9f72412bcf60144f252b0d6205106abf14344abc https://git.kernel.org/stable/c/b014a63d2f2c2c767762b548381882dfb1655529 https://git.kernel.org/stable/c/279853aec9f58d5cd723e6e5617c1c3337b30383 https://git.kernel.org/stable/c/c65b1f60237daac7c56c2652e064cc566a45dc81 https://git.kernel.org/stable/c/dc36a04621dcc2447dae428709207810b6c06e14 https://git.kernel.org/stable/c/5e40de719ee76b8d96e2556ce36dbd3bd07bf37d Для Debian GNU/Linux: https://security-tracker.debian.org/tracker/CVE-2026-63969 https://deb.freexian.com/extended-lts/tracker/CVE-2026-63969 Для программных продуктов Red Hat, Inc.: https://access.redhat.com/security/cve/CVE-2026-63969 Для Ubuntu: https://ubuntu.com/security/CVE-2026-63969

Сведения записи

Дата публикации: 09.09.2026

Класс уязвимости: Уязвимость кода

Статус: Подтверждена производителем

Устранение: Уязвимость устранена

Эксплойт: Данные уточняются

Уровень опасности по записи: Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,8) Высокий уровень опасности (базовая оценка CVSS 3.1 составляет 7,5)

Уязвимое программное обеспечение

Производитель	Название	Версия	Платформа
Canonical Ltd.	Ubuntu	22.04 LTS	Не указана
Canonical Ltd.	Ubuntu	24.04 LTS	Не указана
Canonical Ltd.	Ubuntu	26.04 LTS	Не указана
Red Hat, Inc.	Red Hat Enterprise Linux	10	Не указана
Red Hat, Inc.	Red Hat Enterprise Linux	9	Не указана
Сообщество свободного программного обеспечения	Debian GNU/Linux	10	Не указана
Сообщество свободного программного обеспечения	Debian GNU/Linux	12	Не указана
Сообщество свободного программного обеспечения	Debian GNU/Linux	13	Не указана
Сообщество свободного программного обеспечения	Debian GNU/Linux	9	Не указана
Сообщество свободного программного обеспечения	Linux	6.11.11	Не указана
Сообщество свободного программного обеспечения	Linux	от 6.1.128 до 6.1.175 включительно	Не указана
Сообщество свободного программного обеспечения	Linux	от 6.12.2 до 6.12.92 включительно	Не указана
Сообщество свободного программного обеспечения	Linux	от 6.13 до 6.18.34 включительно	Не указана
Сообщество свободного программного обеспечения	Linux	от 6.19 до 7.0.11 включительно	Не указана
Сообщество свободного программного обеспечения	Linux	от 6.6.75 до 6.6.142 включительно	Не указана

Что требуют по этой уязвимости

Уязвимости закрываются мерами анализа защищённости и управления уязвимостями. Название и код у каждого акта свои:

АНЗ.1 — Выявление, анализ уязвимостей информационной системы и оперативное устранение вновь выявленных уязвимостей (приказ ФСТЭК России от 18.02.2013 № 21).
АНЗ.2 — Контроль установки обновлений программного обеспечения, включая обновление программного обеспечения средств защиты информации (приказ ФСТЭК России от 18.02.2013 № 21).
АУД.2 — Анализ уязвимостей и их устранение (приказ ФСТЭК России от 25.12.2017 № 239).
КУ — управление уязвимостями: мониторинг уязвимостей и оценка их применимости, оценка уязвимостей, определение методов и приоритетов устранения, устранение и контроль устранения (методический документ ФСТЭК России от 12.04.2026, раздел 3.3 — к приказу от 11.04.2025 № 117).
КО — управление обновлениями: контроль актуальности версий, получение обновлений из источников с проверкой подлинности и целостности, проверка и установка обновлений (методический документ ФСТЭК России от 12.04.2026, раздел 3.4 — к приказу от 11.04.2025 № 117).

Для государственных систем методический документ требует внутренний регламент по управлению уязвимостями. В нём должны быть:

ответственные за организацию и контроль управления уязвимостями и участники процессов — с обязанностями и правами
операции мониторинга уязвимостей и оценки их применимости: исполнители, продолжительность, входные и выходные данные
операции оценки уязвимостей — так же по исполнителям, срокам и данным
операции определения методов и приоритетов устранения
операции устранения уязвимостей и контроля устранения
схемы взаимодействия подразделений при выполнении этих операций

Чем это оформляется:

Образец инструкции по контролю (анализу) защищённости ИСПДн (АНЗ) — порядок: кто, чем и как часто проверяет
Образец акта контроля (анализа) защищённости ИСПДн — запись о проверке и найденных уязвимостях
Образец регламента защиты информации (внутренние стандарты) государственной системы — для государственных систем: разделы «Управление уязвимостями» и «Управление обновлениями» и есть тот внутренний регламент, которого требует методический документ

В модели угроз уязвимость учитывается не сама по себе, а как способ реализации угрозы (методика оценки угроз безопасности информации ФСТЭК России от 05.02.2021). Угрозы по объекту воздействия:

Системное ПО и ОС (реестр, файловая система)Прикладное ПО Сетевое ПО, узлы и трафик

Чтобы такие записи находились не вручную, ведите реестр программного обеспечения: в личном кабинете уязвимости сопоставляются с вашим ПО, а работы по устранению попадают в план. Завести кабинет →

Источник: Банк данных угроз безопасности информации ФСТЭК России. Данные выгружены 17.09.2026, записей в справочнике — 95745. Справочник не является официальным ресурсом ФСТЭК России: сверяйте сведения с первоисточником.