Il bug Linux “Bad Epoll” può consentire agli utenti locali di ottenere privilegi di root su sistemi desktop, server e Android

Secondo un’analisi pubblica, una vulnerabilità del kernel Linux recentemente divulgata, denominata Bad Epoll, potrebbe consentire a un utente locale senza privilegi di ottenere l’accesso root sui sistemi interessati. La falla è tracciata come CVE-2026-46242 e interessa distribuzioni Linux, server, desktop e alcuni dispositivi Android.

Il problema risiede in epoll, un meccanismo fondamentale di Linux utilizzato dalle applicazioni per monitorare contemporaneamente numerosi descrittori di file o connessioni di rete. Poiché epoll è ampiamente utilizzato da browser, servizi e software per server, non può essere semplicemente disabilitato come soluzione temporanea.

Il ricercatore di sicurezza Jaeyoung Chung ha identificato il bug e ha dimostrato un exploit funzionante. La vulnerabilità è una condizione di use-after-free, ovvero una situazione in cui una parte del kernel libera la memoria mentre un’altra parte tenta ancora di accedervi. Se un attaccante riesce a influenzare la tempistica, potrebbe essere in grado di corrompere la memoria del kernel e aumentare i propri privilegi fino a ottenere quelli di root.

Sebbene la falla sia grave, sfruttarla non è semplice. Chung ha dichiarato che la finestra temporale è estremamente ridotta, ma che la proof of concept migliora l’affidabilità ripetendo l’attacco in modo da evitare i crash. Nei test, secondo quanto riferito, l’exploit è riuscito nella maggior parte dei casi. Chung ha inoltre affermato che il bug può essere attivato dall’interno della sandbox del renderer di Chrome e potrebbe interessare Android, aumentando il suo potenziale impatto.

Il problema sembra derivare da una modifica apportata al codice di epoll nel 2023. Chung ha osservato che un precedente bug correlato nella stessa area era già stato individuato dal modello Mythos di Anthropic, ma questa seconda problematica non era stata rilevata. Al momento della pubblicazione non vi erano segnali di sfruttamento attivo e la falla non era inclusa nel catalogo delle vulnerabilità sfruttate note di CISA.

Cosa devono fare utenti e amministratori

• Applicare la correzione upstream a6dc643c6931 o attendere il backport del proprio fornitore.
• Verificare se il kernel è basato su Linux 6.4 o versioni successive, poiché tali versioni sono interessate se non vengono applicate patch.
• I kernel meno recenti basati sulla versione 6.1, inclusi alcuni dispositivi Android, non sono interessati perché il bug è stato introdotto in seguito.

Poiché epoll è una funzionalità fondamentale del kernel, non esiste una soluzione pratica basata sulla configurazione. I sistemi che non hanno ancora ricevuto l’aggiornamento devono avere la priorità nell’applicazione delle patch.