CVE-2026-80858

CVE CVE-2026-80858EUVD EUVD-2026-71308Veröffentlicht 2026-09-04T15:55:12.000ZZuletzt geändert 2026-09-11T09:57:11.000Z

Was das Advisory beschreibt

In the Linux kernel, the following vulnerability has been resolved: fuse: publish io-uring queues with release semantics fuse_uring_create_queue() initializes a fuse_ring_queue and then publishes the pointer into ring->queues[qid] with WRITE_ONCE() under the fch->lock. There are several readers that may concurrently be fetching that pointer locklessly and then deferencing it. WRITE_ONCE() doesn't ensure ordering of the queue's field initialization before the ring->queues[qid] pointer assignment. The queue must be published with smp_store_release() so the field initialization is guaranteed to happen before. Readers in paths where the read may happen concurrently with the store need to use READ_ONCE() because any race involving a plain access is undefined.

Quelle: EUVD (ENISA), im Wortlaut der Meldung.

Produkte, die das Advisory nennt

Diese Angaben stammen aus der Meldung selbst, nicht aus einer Prüfung durch uns.

Linux — Linux patch: 7.2.3; patch: 0; 6.14; patch: 6.18.51; 24fe962c86f55347385933a1b06ca71b60854690 <a1bb359c443d048fe5dfd6ca9caf4e3897f3e9aa; 24fe962c86f55347385933a1b06ca71b60854690 <a5bb215dbc34b4c6a5e144ea1416bf66450d519f; patch: 7.3-rc1; 24fe962c86f55347385933a1b06ca71b60854690 <42df916e5a5f8fb4b60c8cefb54318d1ec02c580

Die genannten Versionen sind die Angabe der Meldung. Patchlage vergleicht keine Versionsnummern und leitet aus ihnen keine Aussage ab — welche Version installiert ist, muss ein Mensch nachsehen.

Im Produktkatalog geführt

Für diese Produkte kann ein Bestand in Patchlage erfasst werden. Ein Advisory dazu erscheint am Morgen danach im Lagebericht.

Linux — Linux

Betrifft das einen Ihrer Kundenbestände?

Diese Seite kann die Frage nicht beantworten — sie kennt Ihren Bestand nicht. Wer seine Umgebungen erfasst hat, bekommt die Antwort am Morgen nach der Veröffentlichung, zusammen mit einem Absatz, den er unverändert an den Kunden weitergeben kann.

28 Tage testen

Patchlage meldet Treffer und Verdachtsfälle. Zu allem anderen sagt dieses System nichts — weder diese Seite noch der Lagebericht behauptet je, dass ein Bestand sicher ist.