Fünfzehn Jahre lang schlummerte sie unentdeckt im Herzstück von Linux — jetzt ist sie da draußen, und ein öffentlicher Exploit verwandelt sie in eine Root-Maschine. GhostLock heißt der Albtraum, offiziell CVE-2026-43499. Wenn du irgendeinen Linux-Server, ein NAS oder eine VM betreibst, solltest du jetzt weiterlesen.
SO GEFÄHRLICH IST GHOSTLOCK
Die Lücke steckt in der Priority-Inheritance-Logik der futex — genauer im rtmutex-Subsystem, das für Echtzeit-Sperren zuständig ist. Ein Logikfehler führt dort zu einer Use-after-free-Speicherlücke. Eingeschleppt wurde der Bug bereits 2011 mit Kernel 2.6.39.
Das Fatale: Ein Angreifer braucht nur lokalen Zugang mit eingeschränkten Rechten — kein Admin, keine exotische Konfiguration, keine Netzwerkverbindung. Die Forscher berichten, ihr Exploit liefert in rund 5 Sekunden eine stabile Root-Shell, und das mit einer Erfolgsquote von etwa 97 Prozent. Weil das auch aus Containern heraus funktioniert, ist die Lücke gerade für Homelabs mit vielen Containern brandgefährlich.
BIST DU BETROFFEN?
Mit hoher Wahrscheinlichkeit ja. Verwundbar sind alle Kernel bis einschließlich Version 7.1. Deine aktuelle Version findest du mit:
uname -rLiegt deine Version unter dem gepatchten Stand deiner Distribution, gilt: als verwundbar behandeln. Der Fix landete im April 2026 upstream und wurde in die LTS-Kernel zurückportiert (u. a. 6.18.38, 6.12.95, 6.6.144, 6.1.177).
SO SCHÜTZT DU DICH — 3 SCHRITTE
- System aktualisieren: Debian/Ubuntu mit
sudo apt update && sudo apt full-upgrade, auf RHEL-Systemensudo dnf update kernel. - Neu starten: Ein Kernel-Update wird erst nach dem Reboot wirksam — plane das aktiv ein, nicht „irgendwann“.
- Container-Hosts zuerst: Auf Proxmox- und Docker-Hosts hat der Patch Priorität, weil GhostLock den Ausbruch aus Containern erleichtert.
FAZIT: Nicht abwarten
Ein öffentlicher Exploit plus Root in fünf Sekunden ist eine Kombination, die man nicht auf die lange Bank schiebt. Der Patch ist da — spiel ihn ein und starte neu. Genau heute, nicht am Wochenende.
Häufige Fragen
Welche Versionen sind betroffen?
Wie merke ich, ob mein System verwundbar ist?
uname -r deine laufende Kernel-Version und vergleiche sie mit dem gepatchten Stand deiner Distribution. Liegt sie darunter, gilt das System als verwundbar. Da kein Admin-Recht für den Angriff nötig ist, solltest du im Zweifel von Betroffenheit ausgehen und zeitnah aktualisieren.Wie behebe ich das Problem konkret?
apt full-upgrade oder dnf update kernel) und starte das System anschließend neu — erst der Reboot aktiviert den neuen Kernel. Auf Container- und Virtualisierungs-Hosts solltest du zuerst patchen, weil die Lücke den Ausbruch aus Containern erleichtert.Gab es schon aktive Angriffe?
Hinweis: Sicherheitslücken sind ein sensibles Thema. Die hier genannten Schritte ersetzen keine individuelle Prüfung deiner Systeme.
Quellen: The Hacker News, Cyber Security News, CloudLinux