To 15 år gamle Linux-kjernefeil krever umiddelbar patching

To sårbarheter med høy alvorlighetsgrad som til sammen har ligget i dvale i Linux-kjernen i mer enn 15 år, ble offentliggjort denne uken, noe som har ført til hastetiltak med patching på tvers av store distribusjoner og skyleverandører. Begge ble demonstrert gjennom Google Alphabet Inc. ↘ 1.59% sine bug bounty-programmer før patcher ble tilgjengelige.

GhostLock: Root på fem sekunder

Forskere hos Nebula Security avdekket GhostLock (CVE-2026-43499), en use-after-free-feil i kjernens sanntids-mutex-undersystem som har vært inkludert i hver eneste vanlige Linux-distribusjon siden den ble introdusert i Linux 2.6.39 i mai 2011. Sårbarheten, som scorer 7,8 på CVSS-skalaen, krever kun vanlig lokal brukertilgang – ingen spesielle tillatelser, ingen nettverkstilgang og ingen uvanlig konfigurasjon.secure+3

Feilen ligger i `remove_waiter()`-funksjonen, som ble gjenbrukt i en kontekst de opprinnelige forutsetningene ikke tok høyde for, noe som etterlot en dinglende peker til kjerneminne som kan utnyttes for privilegieeskalering. Nebula sier at deres utnyttelse lykkes 97 prosent av tiden, noe som ga teamet 92 337 dollar gjennom Googles kernelCTF-program.privacyguides+1

Fiksen landet i hovedgrenen i april 2026 i Linux 7.1, men utrullingen i distribusjoner forblir ujevn. Per begynnelsen av juli listet Ubuntu fortsatt sine 24.04, 22.04 og 20.04 LTS-utgivelser som sårbare eller under arbeid. Red Hat utstedte et sikkerhetsvarsel som dekker RHEL 6 til 10 og ga ut en patchet kjerne for RHEL 9 den 8. juli. Det finnes ingen fullstendig midlertidig løsning fordi den sårbare kodestien brukes av rutinemessige trådoperasjoner.thehackernews+3

Januscape: Flukt fra den virtuelle maskinen

Separat avdekket sikkerhetsforsker Hyunwoo Kim Januscape (CVE-2026-53359), en use-after-free-feil i KVMs shadow MMU-emulering som lar en ondsinnet gjeste-VM bryte ut til verten og kjøre kode som root. Kim demonstrerte feilen som en zero-day i Googles kvmCTF-program, som tilbyr opptil 250 000 dollar for en fullstendig VM-til-vert-flukt.securityweek+2

Den sårbare koden stammer fra august 2010 i Linux 2.6.36 og påvirker både Intel- og AMD-arkitekturer – den første kjente KVM-flukten som gjør dette. Et bevis på konseptet som utløser en vertskjernepanikk fra innsiden av en gjest er publisert, selv om den fulle flukt-utnyttelsen forblir tilbakeholdt. Feilen ble patchet i hovedgrenen 19. juni og tilbakeført til stabile grener innen 4. juli.cybernews+4

Skyleverandører i beredskap

Skyoperatører står overfor den mest akutte trusselen fra Januscape. "En angriper som har leid bare én instans i en offentlig sky, kan utløse en vertskjernepanikk for å ta ned hver eneste andre leietaker-VM på den samme fysiske maskinen, eller kjøre kode med root-privilegium på verten for å ta over verten og alle gjestene på den," skrev Kim i sin rådgivning. Organisasjoner som ikke kan patche umiddelbart, blir rådet til å deaktivere nestet virtualisering eller begrense tillatelser på `/dev/kvm`, som er skrivbar for alle som standard på RHEL 8 og senere.cloudlinux+3