CVE-2026-72137 dotyczy double free w xfrm / nat_keepalive. Red Hat podaje, że pojawił się publiczny local privilege-escalation exploit. Jednocześnie RHEL 6, 7, 8 i 9 nie są affected, bo podatny kod wprowadzono dopiero w Linux 6.11.
xfrm/nat_keepalive, publiczny LPE exploit.Public exploit nie oznacza „wszystkie Linuxy P1”
Prawidłowa logika to public exploit AND affected code present AND local attack path exists, a nie Linux + exploit available = emergency. To doskonały przykład, dlaczego threat intelligence trzeba przecinać z vendor affectedness — inaczej jeden sygnał (publiczny exploit) generuje emergency patching na populacji, która nie zawiera podatnego kodu.
KEV to nie jedyny sygnał
Warto rozdzielić pola: KEV, public PoC, weaponized exploit, observed exploitation — każde oznacza coś innego. Publiczny PoC to nie to samo co potwierdzona, obserwowana eksploatacja; a jedno i drugie liczy się dopiero tam, gdzie kod jest realnie obecny.
Wniosek
Publiczny exploit podnosi urgency tylko dla rzeczywiście affected population. Na RHEL 6–9 ten sam sygnał nie powinien generować emergency patching. Pytanie brzmi nie „czy jest publiczny exploit?”, lecz: czy mamy podatny kod i czy istnieje lokalna ścieżka ataku?
Powiązane na blogu
- Kernel CVE, który żyje w userspace — affected kernel to nie cała ocena
- KEV mówi: atakują. EPSS mówi: 0,356% — sygnały odpowiadają na różne pytania
Źródła
- Red Hat — CVE-2026-72137 — access.redhat.com
Nota redakcyjna: stan informacji 1 września 2026. CVE-2026-72137 (double free w xfrm/nat_keepalive) ma publiczny LPE exploit, ale podatny kod wprowadzono w Linux 6.11, więc RHEL 6–9 są not affected. Artykuł koncentruje się na przecinaniu threat intelligence z affectedness.