ROOT-ALARM: Eine winzige Lücke reicht dem Angreifer
Sicherheitsforscher haben eine neue Linux-Kernel-Lücke offengelegt: „Bad Epoll“ (CVE-2026-46242). Sie steckt in epoll — der Standard-Technik, mit der Programme viele Dateien und Netzwerkverbindungen gleichzeitig überwachen. Server, Netzwerkdienste und sogar dein Browser nutzen das ständig. Abschalten? Geht nicht.
Die Lücke ist ein sogenannter Use-after-free: Zwei Teile des Kernels räumen gleichzeitig dasselbe Objekt auf. Einer gibt den Speicher frei, während der andere noch hineinschreibt. Diese winzige Kollision reicht, um vom normalen Benutzerkonto bis auf Root zu klettern.
UNGLAUBLICH: Nur sechs Befehle breit — und trotzdem 99 %
Das Zeitfenster für den Angriff ist nur etwa sechs Maschinenbefehle breit. Klingt nach Glückssache — ist es aber nicht. Der Forscher Jaeyoung Chung hat einen Exploit gebaut, der das Fenster künstlich aufweitet und immer wieder probiert, ohne abzustürzen. Ergebnis: rund 99 % Erfolgsquote auf getesteten Systemen.
Zwei Dinge machen es besonders brenzlig: Der Angriff funktioniert laut Chung aus Chromes Renderer-Sandbox heraus (die sonst fast alle Kernel-Bugs blockt) — und er erreicht Android, was den meisten Linux-Rechte-Bugs verwehrt bleibt.
Spannend: Eine KI fand den Zwilling — diesen aber nicht
Beide Bugs gehen auf eine einzige Code-Änderung von 2023 zurück. Anthropics Modell Mythos hatte den Schwester-Fehler (CVE-2026-43074) gefunden — Bad Epoll aber übersehen. Der Grund: Das Zeitfenster ist so winzig und hinterlässt so wenig Spuren, dass selbst eine starke KI daran vorbeiläuft. Ein schöner Beleg dafür, wie schwer Race-Conditions bleiben.
Was du tun solltest
Es gibt keinen Workaround — epoll lässt sich nicht abschalten. Spiele den Upstream-Patch ein oder installiere den Backport deiner Distribution, sobald er ankommt. Betroffen sind Kernel ab 6.4; ältere 6.1-Kernel (etwa im Pixel 8) sind sicher. Bislang gibt es keine Hinweise auf echte Angriffe, und die Lücke steht noch nicht auf der CISA-Liste — trotzdem gilt: patchen, bevor jemand den PoC ausnutzt.
Häufige Fragen
Welche Systeme sind betroffen?
Wie prüfe ich, ob ich verwundbar bin?
uname -r. Liegt sie bei 6.4 oder höher und hat deine Distribution den Patch noch nicht ausgeliefert, bist du potenziell angreifbar. Ein aktuelles Update behebt das Problem.Gab es schon aktive Angriffe?
Was ist ein Use-after-free-Bug?
Quellen: