Betroffene Einrichtungen
Bereich
Im Linux-Kernel besteht eine Schwachstelle durch fehlende Initialisierung einer Variable im Bereich der Socket-Buffer-Koaleszenz. Dabei wird der Shared-Fragment-Marker nicht korrekt beibehalten, was dazu führt, dass ESP-Input-Processing gemeinsam genutzte Speicherfragmente direkt entschlüsselt und so eine unbeabsichtigte Modifikation von Page-Cache-Daten ermöglicht. Die Schwachstelle kann laut CISA KEV mit CVE-2026-109618 und CVE-2026-109619 verkettet werden, um PHP-Webshells einzuschleusen und beliebige Befehle mit Root-Rechten auszuführen. Im Klinikumfeld werden Linux-basierte Server und Appliances häufig als Basis für KIS, PACS, Laborinformationssysteme und Netzwerkinfrastruktur eingesetzt, sodass eine erfolgreiche Ausnutzung den Ausfall oder die Kompromittierung kritischer patientenrelevanter Systeme bedeuten kann. Angesichts der aktiven Ausnutzung (CISA KEV) ist sofortiges Handeln – Patch-Einsatz, Kompromittierungsprüfung und ggf. Meldung an BSI/BACS/CERT.at – dringend erforderlich.
1 Den betroffenen Linux-Kernel-Patch für die Schwachstelle zur fehlenden Variableninitialisierung im ESP-Input-Processing umgehend einspielen – aktuellen stabilen Kernel-Release des jeweiligen Distributionsanbieters (z. B. RHEL, Debian, Ubuntu) prüfen und patchen, da dieser Fehler im Socket-Buffer-Coalescing aktiv ausgenutzt wird.
2. Systeme auf Anzeichen einer Kompromittierung untersuchen: Prüfung auf unbekannte PHP-Webshells in Web-Verzeichnissen sowie auf unberechtigte Root-Prozesse oder Cronjobs, da die Schwachstelle in Kombination mit CVE-2026-109618 und CVE-2026-109619 zur Root-Kompromittierung genutzt werden kann.
3. Netzwerksegmentierung für kritische Systeme (KIS, PACS, Patientenmonitoring) verstärken und ausgehenden Traffic von Servern auf bekannte Ziele beschränken, um mögliche Command-and-Control-Kommunikation nach einer Webshell-Implantierung zu unterbinden.
4. Alle Linux-basierten Systeme im Netzwerk inventarisieren (Server, Appliances, Medizingeräte mit Linux-Kern) und priorisiert patchen; bis zur Patchverfügbarkeit ESP/IPsec-Verarbeitung auf betroffenen Systemen deaktivieren oder durch alternative Segmentierung absichern.
5. Vorfall gemäß NIS2 und B3S dem BSI melden, sofern eine aktive Ausnutzung auf KRITIS-relevanten Systemen festgestellt wird; interne Incident-Response einleiten und betroffene Systeme isolieren.
NIS2-Relevanz: ••• B3S: ••• ISG: ••ˆ Meldepflicht DE: ja