ГрамотаИБ
Начать бесплатно

BDU:2026-14432

высокий уровень опасности CVSS 7.0 · AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H

Уязвимость функции store_modes() модуля drivers/video/fbdev/core/fbsysfs.c драйвера устройств кадрового буфера ядра операционной системы Linux, позволяющая нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации

Срок устранения — не более 7 календарных дней с момента выявления (пункт 38 Требований, приказ ФСТЭК России от 11.04.2025 № 117). Вместо устранения допускается исключить возможность использования уязвимости компенсирующей мерой. Если уязвимости нет в банке данных угроз ФСТЭК России, сведения о ней направляются во ФСТЭК России в течение 5 рабочих дней со дня выявления.

Соответствие зарубежным идентификаторам

CVE-2026-63826

Отчёты сканеров говорят на языке CVE, требования регуляторов — на языке БДУ. Перевести список из отчёта →

Как эксплуатируется

Нужен доступ к самому узлу, но требуется учётная запись. Снаружи напрямую не достижима, но остаётся при наличии доступа к узлу.

Способ доступа
локально, с самого узла
Сложность эксплуатации
высокая
Нужны права
права обычного пользователя
Участие человека
не требуется
Область воздействия
в пределах уязвимого компонента
Конфиденциальность
высокое
Целостность
высокое
Доступность
высокое

Расшифровка вектора CVSS 3.x из записи банка данных.

Описание

Уязвимость функции store_modes() модуля drivers/video/fbdev/core/fbsysfs.c драйвера устройств кадрового буфера ядра операционной системы Linux связана с разыменованием указателя с истекшим сроком действия. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации

Способ устранения

В условиях отсутствия обновлений безопасности от производителя рекомендуется придерживаться "Рекомендаций по безопасной настройке операционных систем LINUX", изложенных в методическом документе ФСТЭК России, утверждённом 25 декабря 2022 года. Использование рекомендаций: Для Linux: https://git.kernel.org/linus/2c1c805c65fb7dc7524e20376d6987721e73a0b1 https://git.kernel.org/stable/c/5267eab88fa4c684459504b8be577ad64953b9a6 https://git.kernel.org/stable/c/c6765f39ed27014ff877b00a2efa494233404e17 https://git.kernel.org/stable/c/0d35f9f194a858567a21017d69318a51e3a822b9 https://git.kernel.org/stable/c/70f1e000b88cfa8ca3fd7f4d082647fc089a7769 Для Debian GNU/Linux: https://security-tracker.debian.org/tracker/CVE-2026-63826 https://deb.freexian.com/extended-lts/tracker/CVE-2026-63826 Для программных продуктов Red Hat, Inc.: https://access.redhat.com/security/cve/CVE-2026-63826 Для Ubuntu: https://ubuntu.com/security/CVE-2026-63826

Сведения записи

Дата публикации: 09.09.2026
Класс уязвимости: Уязвимость кода
Статус: Подтверждена производителем
Устранение: Уязвимость устранена
Эксплойт: Данные уточняются
Уровень опасности по записи: Средний уровень опасности (базовая оценка CVSS 2.0 составляет 6) Высокий уровень опасности (базовая оценка CVSS 3.1 составляет 7)

Уязвимое программное обеспечение

ПроизводительНазваниеВерсияПлатформа
Canonical Ltd.Ubuntu16.04 LTSНе указана
Canonical Ltd.Ubuntu18.04 LTSНе указана
Canonical Ltd.Ubuntu20.04 LTSНе указана
Canonical Ltd.Ubuntu22.04 LTSНе указана
Canonical Ltd.Ubuntu24.04 LTSНе указана
Canonical Ltd.Ubuntu26.04 LTSНе указана
Red Hat, Inc.Red Hat Enterprise Linux8Не указана
Red Hat, Inc.Red Hat Enterprise Linux9Не указана
Сообщество свободного программного обеспеченияDebian GNU/Linux10Не указана
Сообщество свободного программного обеспеченияDebian GNU/Linux11Не указана
Сообщество свободного программного обеспеченияDebian GNU/Linux12Не указана
Сообщество свободного программного обеспеченияDebian GNU/Linux13Не указана
Сообщество свободного программного обеспеченияDebian GNU/Linux9Не указана
Сообщество свободного программного обеспеченияLinuxот 2.6.12 до 6.6.143 включительноНе указана
Сообщество свободного программного обеспеченияLinuxот 6.13 до 6.18.37 включительноНе указана
Сообщество свободного программного обеспеченияLinuxот 6.19 до 7.1.2 включительноНе указана
Сообщество свободного программного обеспеченияLinuxот 6.7 до 6.12.94 включительноНе указана

Что требуют по этой уязвимости

Уязвимости закрываются мерами анализа защищённости и управления уязвимостями. Название и код у каждого акта свои:

Для государственных систем методический документ требует внутренний регламент по управлению уязвимостями. В нём должны быть:

  • ответственные за организацию и контроль управления уязвимостями и участники процессов — с обязанностями и правами
  • операции мониторинга уязвимостей и оценки их применимости: исполнители, продолжительность, входные и выходные данные
  • операции оценки уязвимостей — так же по исполнителям, срокам и данным
  • операции определения методов и приоритетов устранения
  • операции устранения уязвимостей и контроля устранения
  • схемы взаимодействия подразделений при выполнении этих операций

Чем это оформляется:

В модели угроз уязвимость учитывается не сама по себе, а как способ реализации угрозы (методика оценки угроз безопасности информации ФСТЭК России от 05.02.2021). Угрозы по объекту воздействия:

Системное ПО и ОС (реестр, файловая система)Прикладное ПОСетевое ПО, узлы и трафик

Чтобы такие записи находились не вручную, ведите реестр программного обеспечения: в личном кабинете уязвимости сопоставляются с вашим ПО, а работы по устранению попадают в план. Завести кабинет →

Источник: Банк данных угроз безопасности информации ФСТЭК России. Данные выгружены 17.09.2026, записей в справочнике — 95745. Справочник не является официальным ресурсом ФСТЭК России: сверяйте сведения с первоисточником.