Trend Micro Zero Day Initiative 在公開的 Linux 核心郵件清單揭露兩項 KSMBD 遠端程式碼執行漏洞，CVSS 皆為 9.0。其中 ZDI-CAN-33774 可在未認證前觸發；截至台北時間 10 月 23 日凌晨，mainline 與 linux-next 仍未見正式修補，亦尚未配發 CVE。
（前情提要：PHP、Node.js 連爆嚴重漏洞：最近上網要注意這 5 件事自保）
（背景補充：OpenAI 秘密協調兩個月，PHP 漏洞仍在發布修補前兩天走漏）
核心內建的 SMB 伺服器模組 KSMBD 正面臨兩項高危風險。據 Phoronix 報導，Trend Micro 旗下 Zero Day Initiative（ZDI）將多份漏洞報告寄到公開的 Linux 核心郵件清單（LKML），而非慣用的私密安全清單，穩定核心維護者 Greg Kroah-Hartman 隨即質疑此提交流程。
其中兩項與 KSMBD 直接相關：ZDI-CAN-33549、ZDI-CAN-33774，CVSS 皆為 9.0。據 The Hacker News 整理，截至台北時間約 10 月 23 日凌晨，兩者在 mainline 與 linux-next 皆尚無具名修補，Linux 專案通常要等 stable 樹有修補後才配發 CVE。
KSMBD 是什麼？誰會中招？
依 Linux 核心官方文件，KSMBD 是在核心空間實作 SMB3 檔案分享的伺服器，效能相關的開檔、讀寫在核心，帳號與部分管理則交由使用者空間的 ksmbd-tools。設定選項標為實驗性，預設為關閉。
因此，真正暴露面是「已編譯並啟用 KSMBD」的系統，常見於自建 NAS、部分企業檔案分享節點，而非每一台 Linux 主機。Red Hat 文件指出，RHEL 出廠核心不納入 ksmbd，歷史相關 CVE 亦聲明產品不受影響。
管理員可用 lsmod | grep ksmbd 或 systemctl status ksmbd 確認模組是否載入；並檢查核心設定中 CONFIG_SMB_SERVER 是否啟用。
兩項漏洞：一項免認證、一項需 SMB Direct
ZDI-CAN-33774 屬於協定處理器競態。據 The Hacker News 與 ZDI 公開摘要，一連串短 SMB1 封包後緊接 SMB2，可能讓工作執行緒用 SMB2 處理器解讀較短的 SMB1 緩衝區，造成越界讀取；取得分享權限後，還可能走到越界寫入路徑。該項被描述為可在網路認證前觸發，攻擊面涵蓋對外開著 445 埠且啟用 KSMBD 的主機。
ZDI-CAN-33549 則是 SMB Direct 路徑的整數下溢。攻擊者需具備 RDMA 能力介面（硬體或 rxe 軟體驅動）、可寫入的 KSMBD 分享，並協商 SMB Direct，條件較嚴格，但仍屬遠端程式碼執行等級。
ZDI 將發現歸功於 TrendAI。核心安全文件在 2026 年 5 月更新後指出，AI 工具找到的缺陷依定義已屬公開，應寄到子系統開發者清單；ZDI 此次同時抄送公開清單且未附修補，引發維護者反彈。
修補進度：尚未進 mainline
Phoronix 指出，ZDI-CAN-33549 已有修補位於預計併入 Linux v7.5 的 Git 分支，預期會加速推進 mainline。
即使修補進入 mainline，通常仍需數週才會回流到各發行版的 stable／LTS 核心。期間若主機必須繼續提供 SMB，防火牆限制 445／SMB Direct 相關埠、關閉 guest 可達分享，可降低暴露。
緩解建議：先確認有沒有載入模組
最直接的作法是停用 KSMBD：卸載模組、以 modprobe blacklist 禁止載入，並在不需要核心 SMB 伺服器時改用使用者空間 Samba。Red Hat 對過往 ksmbd 漏洞的緩解建議亦包含在 /etc/modprobe.d/ 建立 blacklist 設定後重建 initramfs 並重開機。
若業務上必須開分享，應限制來源網段、關閉不必要的 SMB1／guest，並關閉未使用的 SMB Direct。NAS 與自編譯核心的營運者應優先盤點，桌面發行版若未啟用該模組則風險較低。
這兩項漏洞的關鍵不在「所有 Linux 都中招」，而在「已啟用 KSMBD 且對外服務」的節點，在修補尚未落地前處於公開細節、缺乏 CVE 編號的空窗期。管理員應先確認模組狀態並採取網路隔離，再追蹤發行版安全更新，而不是等待 CVE 號碼出現才行動。
📍相關報導📍
Node.js 緊急修 Brotli 高危漏洞！三現行分支齊發安全版，EOL 版本也恐受影響
CZ：沒有錢包 100% 安全！PHP 漏洞、Railway 遭駭接連爆發，幣安急表態
