Una falla del kernel Linux vecchia di 15 anni può concedere privilegi root e consentire l’uscita dai container

I ricercatori di sicurezza di Nebula Security hanno divulgato una vulnerabilità di lunga data del kernel Linux, tracciata come CVE-2026-43499 e soprannominata GhostLock, che può consentire a un utente locale di ottenere privilegi root completi sui sistemi non aggiornati. Secondo quanto riferito, il problema esiste nel kernel dal 2011 ed è presente nelle configurazioni predefinite della maggior parte delle principali distribuzioni Linux.

Secondo i ricercatori, la falla non richiede permessi speciali, modifiche insolite alla configurazione né accesso alla rete. Un utente autenticato può attivarla attraverso normali attività di gestione dei thread eseguite da un programma locale. Nebula afferma di aver sviluppato un exploit affidabile, che nei test ha funzionato con un'elevata percentuale di successo e che può anche consentire di uscire dai container, rendendo il bug particolarmente preoccupante per i server condivisi e gli ambienti cloud.

Come si comporta la falla

Il problema risiede nella logica del kernel progettata per gestire la priorità dei task e la pulizia durante le operazioni di blocco. In un raro percorso di errore, la pulizia avviene nel momento sbagliato e rimuove i dati del task errato. Di conseguenza, il kernel continua a fare riferimento a una porzione di memoria che è già stata liberata e potenzialmente riutilizzata, una classica condizione di use-after-free. Da quel momento, i ricercatori hanno concatenato ulteriori passaggi per trasformare la corruzione della memoria in esecuzione di codice con accesso a livello root.

Nebula afferma che il problema è stato individuato utilizzando il suo sistema automatizzato di ricerca dei bug VEGA e che Google ha assegnato al team una ricompensa tramite il programma kernelCTF. La vulnerabilità è stata corretta nel ramo principale ad aprile, ma la patch è stata distribuita nelle varie distribuzioni in momenti diversi; inoltre, secondo quanto riferito, alcune build iniziali hanno introdotto un problema separato di crash che ha richiesto ulteriori interventi di pulizia.

Cosa devono fare gli amministratori

• Installare l'ultimo pacchetto del kernel fornito dalla propria distribuzione.
• Verificare l'esatta versione corretta invece di presumere che la prima build con la patch sia sufficiente.
• Dare priorità ai sistemi esposti a più utenti, ai container, ai runner CI e ai carichi di lavoro cloud.
• Esaminare attentamente gli avvisi dei vendor, poiché lo stato della distribuzione varia in base alla distribuzione Linux e alla release.

Sebbene alcune opzioni di hardening del kernel possano rendere più difficile lo sfruttamento, non sostituiscono l'applicazione delle patch. Poiché nessuna soluzione alternativa pratica elimina completamente il rischio, aggiornare il kernel resta la principale difesa.

Nebula ha inoltre osservato che GhostLock fa parte di una tendenza più ampia di recenti scoperte di vulnerabilità Linux legate all'escalation dei privilegi, diverse delle quali sono state individuate anch'esse con strumenti automatizzati. L'azienda ha indicato che in seguito è previsto un approfondimento tecnico su un exploit Android, dopo aver dimostrato che la falla può essere concatenata a una vulnerabilità del browser fino a ottenere una compromissione completa.