Manche Fehler sind spektakulär. Dieser ist es nicht — und genau das macht ihn interessant. CVE-2026-80590 steckt seit Linux 2.6.27 im Kernel. Diese Version ist von 2008. Achtzehn Jahre lang hat niemand hingeschaut.
WAS da schiefläuft — in Alltagssprache
Große Netzwerkpakete werden auf dem Weg durchs Netz in Stücke zerlegt. Das nennt man Fragmentierung. Am Ziel setzt der Kernel die Stücke wieder zusammen.
Parallel dazu gibt es eine Beschleunigungstechnik namens GSO (Generic Segmentation Offload). Vereinfacht: Der Kernel darf ein großes Paket erst spät zerlegen, weil die Netzwerkkarte das effizienter erledigt. Pakete, die so behandelt werden dürfen, tragen eine Markierung.
Und jetzt der Fehler: Kommen IPv4- oder IPv6-Fragmente über eine virtuelle Netzwerkschnittstelle herein — also über tun/tap oder über AF_PACKET mit gesetztem PACKET_VNET_HDR —, dann lassen sie sich fälschlich als GSO markieren. Nach dem Zusammensetzen behält das Paket diese Markierung. Es behauptet also, etwas zu sein, was es nicht ist.
Landet dieses Paket anschließend an der nächsten Zerlegungsstelle im Kernel, greift dort eine interne Sicherheitsprüfung — und die reagiert nicht mit einer Fehlermeldung, sondern mit einem harten Abbruch. Ergebnis: Kernel-Panic. Der Rechner steht.
WARUM das mehr ist als ein Absturz
Zwei Punkte machen die Sache ernst:
- Es braucht praktisch keine Rechte. Der Weg über tun/tap ist mit sehr geringen Privilegien erreichbar. Ein normaler Nutzer auf dem System reicht.
- Es überschreitet Virtualisierungsgrenzen. Der Angriff lässt sich aus einer KVM-VM heraus auslösen. Wer eine virtuelle Maschine bei einem Anbieter mietet, kann damit theoretisch den Host darunter umwerfen — und damit alle anderen Gäste gleich mit.
Für Betreiber mit mehreren Mietern auf einer Maschine ist das kein Randthema, sondern ein Sofort-Patch. Ein Denial of Service ist keine Datenpanne, aber ein Wirt, der reihenweise neu startet, ist ein handfestes Problem.
ACHT Stable-Zweige auf einen Schlag
Bemerkenswert ist die Reaktion. Greg Kroah-Hartman, der Verwalter der stabilen Kernel-Linien, hat Aktualisierungen über acht große Versionszweige gleichzeitig veröffentlicht — angeführt von genau diesem Netzwerk-Fix. Wenn ein einzelner Fehler acht Serien auslöst, ist das ein deutliches Signal, wie breit die betroffene Codestelle im Einsatz ist.
Der Patch selbst stammt laut Berichten von Xinyang Ge, einem Forscher bei Anthropic. Er räumt die stehengebliebene GSO-Markierung auf IPv4-Fragmenten weg, bevor diese wieder zusammengesetzt werden. Eine kleine Korrektur an einer alten Stelle — die typische Form solcher Funde.
SO ziehst du nach
Es gibt keinen Trick und keine Konfigurationsschraube. Der Weg ist der ganz gewöhnliche:
- Debian/Ubuntu:
sudo apt update && sudo apt full-upgrade, danach neu starten. - Fedora/RHEL-Familie:
sudo dnf upgrade --refresh, danach neu starten. - Proxmox VE: Aktualisierungen über die Oberfläche oder
apteinspielen, anschließend Knoten für Knoten neu starten. In einem Cluster geht das mit Live-Migration ohne Ausfall der Gäste. - Livepatching deckt diesen Fix je nach Anbieter ab oder auch nicht — im Zweifel wirklich neu starten.
FAZIT: Der langweilige Fehler ist der gefährlichste
Hier gibt es keinen Root-Zugriff zu holen, keine gestohlenen Daten, keine dramatische Angriffskette. Nur einen Server, der ohne Vorwarnung stehenbleibt — ausgelöst von jemandem, der eigentlich fast keine Rechte hat. Achtzehn Jahre hat der Fehler überlebt, weil ihn niemand gesucht hat. Der Patch ist da, das Nachziehen dauert zehn Minuten.