Ghostlock: 15 Jahre alte Root-Lücke im Linux-Kernel aufgedeckt
Sicherheitsforscher von Nebula Security haben mithilfe eines eigenen KI-Tools namens Vega eine gefährliche Sicherheitslücke im Linux-Kernel aufgespürt. Angreifer können sich damit auf unzähligen Linux-Systemen Root-Zugriff verschaffen. Als anfällig gelten laut Blogbeitrag der Entdecker(öffnet im neuen Fenster) alle Kernel-Versionen der letzten 15 Jahre. Ein Patch ist zwar verfügbar, doch dessen Verteilung läuft bisher eher schleppend.
Die besagte Sicherheitslücke ist als CVE-2026-43499(öffnet im neuen Fenster) registriert und verfügt über einen hohen Schweregrad (CVSS: 7,8). Die Nebula-Forscher nennen ihre Entdeckung auch Ghostlock. Sie basiert den Angaben zufolge auf einer missbräuchlichen Nutzung einer für Aufräumarbeiten vorgesehenen Helper-Funktion namens remove_waiter().
Exploit öffentlich verfügbar
Wie Forscher von Redeye Security in einem eigenen Bericht(öffnet im neuen Fenster) schildern, liegt die Ursache für CVE-2026-43499 in der Futex-Mechanik zur Prioritätsvererbung des Kernels. Dabei handle es sich um ein System, das verhindere, dass ein dringender Task hinter einem trivialen Task hängen bleibe. Teil dieses Systems sei ein Bereinigungsschritt, der aufräume, nachdem ein Task das Warten beendet habe.
"In einem seltenen Ablauf, bei dem eine Sperroperation fehlschlägt und zurückgesetzt werden muss, wird die Bereinigung zum falschen Zeitpunkt ausgeführt und der Datensatz der falschen Aufgabe gelöscht", heißt es. Daraufhin erhalte der Kernel einen Pointer auf einen Speicherbereich, den er zuvor bereits freigegeben und wiederverwendet habe.
Dadurch soll es Angreifern möglich sein, den Linux-Kernel dazu zu bringen, bösartigen Code als Root auszuführen oder gar aus Containern auszubrechen. Vorab reicht ein lokaler Zugriff mit einfachen Benutzerrechten aus, um den Ghostlock-Angriff erfolgreich auszuführen. Nebula Security hat auf Github(öffnet im neuen Fenster) einen Exploit veröffentlicht, der zu 97 Prozent zuverlässig funktionieren soll.
Lücke blieb 15 Jahre unentdeckt
Als anfällig für CVE-2026-43499 gelten alle Linux-Kernel-Versionen ab 2.6.39. Eingeführt wurde der Fehler mit einem Commit von Januar 2011(öffnet im neuen Fenster). Erst im April 2026(öffnet im neuen Fenster) wurde die Sicherheitslücke geschlossen, nachdem die Nebula-Forscher ihre Entdeckung an die Kernel-Entwickler gemeldet hatten. Folglich war Ghostlock über 15 Jahre lang im Linux-Kernel enthalten und blieb bis letzten April unentdeckt.
Obwohl der Patch nun schon einige Monate verfügbar ist, scheint er aber noch längst nicht bei allen Nutzern angekommen zu sein. In den Sicherheitsmeldungen namhafter Linux-Distributionen wie Debian(öffnet im neuen Fenster), Ubuntu(öffnet im neuen Fenster), Suse(öffnet im neuen Fenster) und Red Hat(öffnet im neuen Fenster) sind viele Versionen nach wie vor als anfällig markiert.
Nach Angaben von Redeye scheint es auch keinen alternativen Workaround zu geben. "Die Vorgänge, die Ghostlock auslösen, sind für jeden lokalen Prozess Routine, so dass man sie nicht blockieren kann, ohne den normalen Betrieb zu beeinträchtigen", heißt es. Nutzern bleibt folglich nur das Warten auf den Patch.
Auch Android betroffen
Laut Nebula Security sind auch Android-Geräte anfällig für Ghostlock, ähnlich wie zuletzt bei Bad Epoll. Details dazu wollen sie aber erst später in einem separaten Blogbeitrag preisgeben. Den Angaben zufolge haben die Forscher für CVE-2026-43499 im Rahmen des KernelCTF-Programms(öffnet im neuen Fenster) von Google eine Bug-Bounty-Prämie in Höhe von 92.337 US-Dollar erhalten.
- Anzeige Hier geht es zu Hacking & Security: Das umfassende Handbuch bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.