Wenn auf deinem Linux-Server mehr als eine Person eine Shell hat, solltest du jetzt aufwachen. Am 15. Mai 2026 wurde CVE-2026-46333 öffentlich — eine Schwachstelle im Linux-Kernel, die unter den Spitznamen „ssh-keysign-pwn“ und „ptrace exit-race“ läuft. Das Bittere: Der Fehler steckt seit November 2016 im Mainline-Kernel. Neun Jahre lang.
GEFAHR: Aus jeder Shell wird Root
Der Kern des Problems ist eine Logik-Lücke in der Kernel-Funktion __ptrace_may_access(). Vereinfacht gesagt: Sie entscheidet, wer welchen Prozess belauschen oder steuern darf — und genau diese Entscheidung lässt sich austricksen. Das Ergebnis ist heftig. Eine einzige unprivilegierte Shell auf einem verwundbaren System reicht aus, um:
– die /etc/shadow mit allen Passwort-Hashes auszulesen,
– private SSH-Host-Schlüssel zu exfiltrieren,
– über gekaperte D-Bus-Verbindungen zu systemd beliebige Befehle als Root auszuführen.
Mit anderen Worten: Wer auch nur einen normalen Benutzer-Account auf der Maschine hat, kann zum Vollzugriff aufsteigen.
SCHOCK: Es trifft die Standard-Installationen
Das ist keine exotische Konfigurations-Lücke. Die Schwachstelle greift bei den Standard-Einstellungen großer Distributionen — ausdrücklich genannt sind Debian, Fedora und Ubuntu. Besonders brenzlig wird es überall dort, wo sich mehrere Leute einen Server teilen: Hosting mit Shell-Zugang, Uni-Cluster, Entwickler-Maschinen, gemeinsam genutzte Build-Server.
WICHTIG: Exploits sind schon im Umlauf
Es bleibt nicht bei der grauen Theorie. Laut den Sicherheitsforschern kursieren bereits funktionierende Exploits öffentlich. Die gute Nachricht: Upstream-Patches und Distributions-Updates sind verfügbar. Die Distributoren haben reagiert, du musst sie nur einspielen.
So rettest du deinen Server in 5 MINUTEN
1. Paketquellen aktualisieren und das Kernel-Update einspielen — bei Debian/Ubuntu mit apt update && apt upgrade, bei Fedora mit dnf upgrade.
2. Neu starten, damit der gepatchte Kernel auch wirklich läuft (uname -r zur Kontrolle).
3. SSH-Host-Schlüssel im Zweifel neu erzeugen, falls die Maschine längere Zeit Mehrbenutzer-Zugang hatte und du einen Diebstahl nicht ausschließen kannst.
4. Prüfen, ob unnötige Shell-Accounts auf dem System existieren — und sie entfernen.
Fazit: Eine klassische Privilege-Escalation, aber mit ungewöhnlich fieser Wirkung — der SSH-Schlüssel-Klau hebt sie über das übliche Maß hinaus. Wer Server mit mehreren Nutzern betreibt, sollte das Update nicht auf morgen verschieben.
Häufige Fragen
Bin ich überhaupt betroffen?
Wie merke ich, ob mein System verwundbar ist?
Wie behebe ich das Problem konkret?
Gab es schon aktive Angriffe?
Quellen