В десктопных версиях Ubuntu 24.04 и новее выявлена опасная уязвимость CVE-2026-3888 с оценкой 7,8 по шкале CVSS, позволяющая локальному пользователю повысить привилегии до уровня root. Проблема затрагивает установки с настройками по умолчанию и напрямую связана с тем, как система обрабатывает временные файлы и изоляцию snap-пакетов.
Описание уязвимости CVE-2026-3888 в Ubuntu 24.04
Исследователи из Qualys Threat Research Unit обнаружили, что дефолтные настройки Ubuntu приводят к небезопасному взаимодействию двух стандартных компонентов: snap-confine (часть snapd, отвечающая за создание песочницы для snap-приложений) и systemd-tmpfiles (служба очистки временных директорий /tmp, /run и /var/tmp).
По замыслу разработчиков, systemd-tmpfiles автоматически удаляет устаревшие файлы в /tmp, чтобы не допустить засорения файловой системы. Однако именно эта функция создает условия для локального повышения привилегий, если атакующий сумеет правильно воспользоваться временным окном между циклами очистки.
Как работает атака: взаимодействие snap-confine и systemd-tmpfiles
Ключевым элементом становится каталог /tmp/.snap, который используется snap-confine при инициализации песочницы для snap-приложений. По умолчанию systemd-tmpfiles периодически удаляет его как «устаревший»: обычно через 30 дней в Ubuntu 24.04 и примерно через 10 дней в более новых сборках.
Сценарий эксплуатации в общих чертах выглядит так: необходимо дождаться очередного цикла очистки, когда демон удалит каталог /tmp/.snap, после чего локальный пользователь без привилегий может повторно создать этот путь, но уже с подконтрольным содержимым. При следующем запуске snap-приложения snap-confine выполнит bind-mount этих файлов с правами root, что открывает возможность выполнить произвольный код в привилегированном контексте.
По данным Qualys, хотя для успешной атаки требуется определённое временное окно (10–30 дней с момента установки или предыдущей очистки), итоговый эффект — полная компрометация системы при наличии лишь базового локального доступа. Важный момент: не требуется участие пользователя (клики, подтверждения и т.п.).
Затронутые версии Ubuntu и выпущенные обновления
Уязвимость CVE-2026-3888 подтверждена в дефолтных установках Ubuntu Desktop следующих веток:
Исправления уже доступны в виде обновлённых пакетов snapd:
- Ubuntu 24.04 LTS — snapd версии 2.73+ubuntu24.04.1 и новее;
- Ubuntu 25.10 LTS — snapd версии 2.73+ubuntu25.10.1 и новее;
- Ubuntu 26.04 LTS Dev — snapd версии 2.74.1+ubuntu26.04.1 и новее;
- апстрим-проект snapd — начиная с версии 2.75.
Пользователям Ubuntu рекомендуется выполнить обновление пакетов через стандартные средства: apt, «Приложения и обновления» или механизмы автоматических обновлений. В контексте кибербезопасности именно своевременное применение патчей остаётся самым эффективным способом снижения риска.
Дополнительная проблема: состояние гонки в uutils coreutils
Помимо CVE-2026-3888, специалисты Qualys обнаружили еще одну уязвимость, связанную с состоянием гонки (race condition) в пакете uutils coreutils — это реализация классических утилит GNU coreutils на Rust.
Суть проблемы в том, что непривилегированный локальный пользователь может подменять записи каталогов символьными ссылками в момент, когда от имени root выполняются cron-задачи, использующие эти утилиты. В результате становится возможным удаление произвольных файлов или создание условий для дальнейшего повышения привилегий.
Чтобы оперативно устранить риск в Ubuntu 25.10, разработчики вернули дефолтную команду rm на реализацию из GNU coreutils, а не из uutils. При этом апстрим-репозиторий uutils coreutils уже получил необходимые исправления, и пользователям рекомендуется следить за обновлениями своего дистрибутива.
Практические рекомендации по защите Ubuntu и Linux-систем
Инциденты с CVE-2026-3888 и ошибкой в uutils coreutils наглядно демонстрируют, что даже стандартные и широко используемые компоненты Linux — systemd, snapd, coreutils — могут становиться источником критических уязвимостей из-за сложного взаимодействия между собой.
Для повышения уровня кибербезопасности рабочих станций и серверов на базе Ubuntu и других дистрибутивов Linux целесообразно:
- включить автоматические обновления безопасности (например, через
unattended-upgrades); - регулярно устанавливать патчи для snapd, systemd и coreutils;
- минимизировать количество локальных пользователей с доступом к интерактивным сессиям;
- использовать мониторинг уязвимостей по базам CVE и рассылкам безопасности поставщика дистрибутива;
- ограничивать выполнение ненужных cron-задач от имени root и проводить их аудит.
Комплексный подход к управлению обновлениями, внимательное отношение к отчетам об уязвимостях и регулярный аудит конфигураций позволяют существенно снизить вероятность успешной эксплуатации подобных ошибок и сохранить устойчивость инфраструктуры к атакам.
