Linux-Kernel: CVE-Flut nähert sich 2.000er-Marke pro Release
Veröffentlicht am: 03.09.2026 um 01:52 Uhr | Redaktion boerse-global.de
Die Entwicklung des Linux-Kernels steht vor einer neuen Herausforderung durch den massiven Einsatz von Künstlicher Intelligenz (KI). Wie aktuelle Berichte von Anfang September 2026 zeigen, nähert sich die Zahl der registrierten Schwachstellen (CVEs) pro Release der Rekordmarke von rund 2.000. KI-gestützte Werkzeuge scannen dabei kontinuierlich den Quellcode, der mittlerweile einen Umfang von über 40 Millionen Zeilen erreicht hat.
Massive Zunahme gemeldeter Schwachstellen
Die statistische Auswertung der jüngsten Kernel-Veröffentlichungen verdeutlicht eine steile Aufwärtskurve bei den CVE-Zahlen. Während die Serie 6.x noch etwa 500 Schwachstellen pro Release verzeichnete, stieg diese Zahl bei Version 7.0 auf über 1.000 und bei Version 7.2 auf mehr als 1.500 an.
Für das aktuelle Release 7.3 wird ein Wert in Richtung der 2.000er-Marke erwartet. In der ersten Jahreshälfte 2026 wurden insgesamt bereits 2.308 CVEs für den Linux-Kernel registriert.
Diese Entwicklung führt zu einer erheblichen Belastung der verantwortlichen Maintainer. Jakub Kicinski, der das Netzwerk-Subsystem betreut, bezeichnete die Situation laut Berichten als völlig überfordernd.
Wer sich mit dem Thema IT-Sicherheit befasst, erkennt schnell die Vorteile eines stabilen Systems. Das kostenlose Linux-Startpaket zeigt Schritt für Schritt, wie Sie Ubuntu parallel zu Windows installieren – ohne Risiko und ohne Datenverlust. 5 sofort umsetzbare Schutzmaßnahmen entdecken
Auch Linus Torvalds räumte ein, dass die Sicherheitsliste des Projekts fast vollständig unmanageable geworden sei. Ein wesentlicher Grund für diese Flut an Meldungen sind KI-generierte Berichte, die oft falsch-positive Ergebnisse oder Fehler von nur geringer Schwere enthalten.
Technisches Wachstum und KI-Integration
Parallel zur steigenden Fehlerzahl wächst auch der Umfang des Kernels weiter an. Mit der Veröffentlichung des Release-Kandidaten Linux 7.3-rc1 Ende August 2026 kamen rund 560.000 Zeilen Code hinzu, womit das Projekt nun insgesamt 40,98 Millionen Zeilen umfasst.
Ein signifikanter Anteil dieses Zuwachses entfällt auf einen Registerdump für AMD-GPUs, der allein 6,52 Millionen Zeilen beansprucht. Zudem enthält 7.3-rc1 eine Serie von 19 Patches für USB4- und Thunderbolt-Unterstützung auf Apple-Plattformen (M1 bis M3), die unter anderem Treiber für Thunderbolt-Switches und NHI umfasst, während Funktionen für PCIe- und DisplayPort-Tunneling noch ausstehen.
Trotz der Kritik an automatisierten Fehlerberichten verteidigte Linus Torvalds den Einsatz von KI im Projekt. Er betonte, dass Linux kein Anti-KI-Projekt sei. Im Zentrum der Diskussion stand dabei unter anderem das KI-Code-Review-System Sashiko.
Die technologische Überlegenheit von Open-Source-Systemen zeigt sich nicht nur in der Forschung, sondern auch im täglichen Einsatz. Entdecken Sie im kostenlosen Startpaket, wie Sie die Vorteile von Ubuntu sofort testen und Ihren Rechner schneller sowie sicherer machen. Ubuntu Kompakt-Guide kostenlos sichern
Auch in stabilen Kernel-Updates (Versionen 5.10.269 bis 7.1.13), die von Greg Kroah-Hartman veröffentlicht wurden, finden sich nun formale „Assisted-by“-Credits für KI-Systeme wie Claude oder Codex. Diese Patches adressierten unter anderem kritische Sicherheitslücken wie Use-after-Free-Fehler im USB-Bereich und Out-of-Bounds-Probleme bei IPsec.
Reaktionen im Open-Source-Ökosystem
Das Phänomen der KI-gesteuerten Fehlersuche betrifft das gesamte Open-Source-Umfeld. Marktforscher beobachten, dass zahlreiche Projekte von der schieren Masse an Berichten überwältigt werden. So wurde bereits im Januar 2026 das Bug-Bounty-Programm für cURL eingestellt. Bei OpenSSL stieg das monatliche Aufkommen im Posteingang bis August 2026 von durchschnittlich 9 auf etwa 70 Meldungen an.
Modelle wie das von Z.ai entwickelte GLM-5.3 demonstrieren die Leistungsfähigkeit dieser Werkzeuge: In 269 Open-Source-Projekten wurden kumulativ 2.436 Schwachstellen gefunden, von denen 107 als kritisch eingestuft wurden. Interessanterweise lag das Durchschnittsalter der gefundenen Fehler bei 26,6 Jahren.
Um dieser Entwicklung zu begegnen, sind verschiedene Brancheninitiativen entstanden. Dazu zählt die im Mai gestartete Initiative Lightwell von IBM und Red Hat, die mit einem Budget von 5 Milliarden US-Dollar und 20.000 Ingenieuren ausgestattet ist.
Auch Projekte wie Athena von Chainguard verarbeiten bereits zehntausende Schwachstellenmeldungen automatisiert. Die Debian-Gemeinschaft hat Anfang September 2026 zudem eine offizielle Richtlinie verabschiedet, die den Einsatz generativer KI-Tools bei Beiträgen erlaubt, sofern die Mitwirkenden die Verantwortung für das Review übernehmen.
Mehr zum Thema bei Tom's Hardware: „Linux kernel nears record 2,000 vulnerabilities per release as AI bug hunters scour 40 million lines of code …“
