Linux kernel CVE 9.8 mówi „remote, unauthenticated, pełne C/I/A”. Opis mówi o brakującym locku w netfs. Kiedy CVSS zaczyna wyglądać jak problem jakości danych

CVE-2026-64068 jest testem dojrzałości VM. Ubuntu pokazuje CVSS 3.1 9.8 Critical z wektorem AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Jednocześnie opis techniczny mówi o brakującym lockowaniu w netfs_retry_read_subrequests() i netfs_retry_write_stream() podczas dodawania subrequestów. Jeszcze ciekawiej wygląda vendorowa ocena CVSS 4.0 Ubuntu: 7.3 High, AV:L, PR:L, AT:P. To nie kosmetyczna różnica — to dwa istotnie różne modele exploitability.

Co powinien zrobić VE?

Nie wybierać automatycznie większej liczby. Zachować provenance obu ocen i zweryfikować attack path. Ubuntu oznacza 26.04 jako affected/fixed, a starsze linie jako Not affected, i wskazuje konkretne commity. Automatyzacja CVSS >= 9 → P1 → emergency patching może uruchomić kosztowną procedurę bez analizy jakości danych. Finding powinien pokazywać source score, vendor-specific score, affectedness dystrybucji i flagę metadata requires analyst review.

CVSS najpierw musi być poprawnym opisem technicznym

Zwykle mówimy, że do CVSS trzeba dodać asset criticality, exposure, EPSS czy KEV. Tutaj problem pojawia się krok wcześniej: trzeba sprawdzić, czy wektor techniczny jest zgodny z dostępnymi dowodami. Nie chodzi o samowolne przepisywanie CVE — system powinien rozdzielać source-provided metadata i organization technical assessment i zachowywać oba. A w kernelu obecność „starszej wersji” nie oznacza automatycznie affectedness: liczą się commity, backporty, konfiguracja i linia dystrybucyjna.

Wniosek

CVE-2026-64068 nie jest dowodem, że 9.8 jest na pewno błędne. Jest dowodem, że rozbieżność jest wystarczająco duża, aby nie traktować 9.8 jako niepodważalnego faktu operacyjnego. Dojrzały VE potrzebuje provenance, confidence i możliwości oznaczenia spornych danych bez niszczenia danych źródłowych.

Powiązane na blogu

• FreeRDP: dwa CVSS, dwa modele zagrożenia — rozbieżność score jako informacja
• Jedno CVE, wiele luk — Cisco — CVE jako dane, nie zawsze jednostka pracy

Źródła

• Ubuntu — CVE-2026-64068 — ubuntu.com
• Linux kernel — commit naprawczy — git.kernel.org
• CVE.org — CVE-2026-64068 — cve.org

Nota redakcyjna: stan informacji 1 września 2026. CVE-2026-64068 (brakujący lock w netfs): Ubuntu podaje CVSS 3.1 9.8 (AV:N) oraz CVSS 4.0 7.3 (AV:L/PR:L/AT:P) i oznacza tylko 26.04 jako affected. Artykuł nie rozstrzyga, która ocena jest poprawna; koncentruje się na provenance i jakości danych.