ROOT-ALARM! Eine neue Linux-Lücke macht JETZT aus jedem Nutzer den ADMIN — patche SOFORT

Es ist wieder so weit: Eine frische Lücke im Linux-Kernel verwandelt einen ganz normalen, rechtlosen Benutzer in den allmächtigen root. Der Bug hört auf den Namen „pedit COW“ und trägt die Kennung CVE-2026-46331. Das Gemeine daran: Ein fertiger Beispiel-Exploit kursiert bereits öffentlich — und zwar seit nur einem Tag nach der Veröffentlichung.

GEFAHR: Warum diese Lücke so brisant ist

Das Problem steckt tief im Traffic-Control-System (tc) des Kernels — genauer im Modul act_pedit, das eigentlich nur Netzwerkpakete umschreibt. Die Funktion tcf_pedit_act() prüft die erlaubten Speicherbereiche, bevor die endgültigen Schreib-Offsets feststehen. Einige Paket-Schlüssel berechnen ihre Position aber erst zur Laufzeit. Dadurch schreibt der Kernel über die Grenze hinaus.

So läuft der Angriff ab

Statt eine private Kopie zu verändern, manipuliert der Kernel eine gemeinsam genutzte Page-Cache-Seite. Gehört diese Seite zu einer zwischengespeicherten, ausführbaren Datei, wird deren Speicherabbild beschädigt. Heißt im Klartext: Ein Angreifer schmuggelt eigenen Code in die im Cache liegende Version eines Programms, das später mit root-Rechten startet. Spätestens dann gehört ihm der Rechner.

Damit das klappt, müssen zwei Bedingungen erfüllt sein: Das Modul act_pedit muss ladbar sein, und unprivilegierte User-Namespaces müssen offen stehen. Genau das ist auf typischen Debian-, Ubuntu- und RHEL-Installationen standardmäßig der Fall.

Wer betroffen ist

Die Schwachstelle steckt in allen Kernel-Versionen von 5.18 bis 7.1-rc6 — also in praktisch jedem aktuell laufenden Linux-Server, NAS oder Homelab. Gefixt ist sie ab 7.1-rc7. Red Hat stuft die Lücke als „Important“ ein. Wichtig: Der Angreifer braucht bereits einen lokalen Zugang. Auf Mehrbenutzer-Systemen, Webhostern und überall dort, wo fremder Code läuft (Container, CI-Runner, Shared Hosting), ist das aber genau das Szenario, vor dem man Angst haben muss.

So schützt du dich SOFORT

1. Kernel aktualisieren. Spiel das Sicherheitsupdate deiner Distribution ein, sobald es bereitsteht — bei Ubuntu, Debian und Fedora laufen die Backports bereits. Ein apt update && apt full-upgrade bzw. dnf update und ein Neustart sind Pflicht.

2. User-Namespaces einschränken. Brauchst du keine unprivilegierten Namespaces (etwa für rootless Docker/Podman), kannst du sie als Sofort-Bremse abschalten: sysctl -w kernel.unprivileged_userns_clone=0. Das nimmt dem Exploit eine seiner zwei Voraussetzungen.

3. Modul sperren. Wer act_pedit nicht nutzt, kann das Laden per modprobe-Blacklist unterbinden. Im Homelab fällt das meist gar nicht auf.

EXTRA-TIPP: Prüfe nach dem Reboot mit uname -r, ob wirklich der neue Kernel läuft. Viele „gepatchte“ Server booten nach dem Update aus Versehen noch das alte Image.

FAZIT: Eine unscheinbare Netzwerk-Funktion reißt mal wieder ein root-großes Loch in Linux. Updaten, Namespaces zudrehen, fertig — aber bitte heute und nicht erst nächste Woche.