Die Spectre-Familie von Prozessor-Lücken wollte eigentlich schon vor Jahren der Vergangenheit angehören. Jetzt zeigen Forscher der Vrije Universiteit Amsterdam (VUSec) und der Scuola Superiore Sant’Anna: Eine neue Variante namens Branch Target Reuse (BTR) liest auf einem vollständig gepatchten Intel-System innerhalb von Minuten den Root-Passwort-Hash aus dem Kernel-Speicher.
WAS BTR WIRKLICH NEU MACHT
Klassische Spectre-v2-Angriffe nutzen aus, dass ein Prozessor falsch vorhersagt, wohin ein Sprungbefehl führt, und dabei kurz Daten verarbeitet, die er eigentlich nicht verarbeiten dürfte. BTR dreht die Logik: Moderne CPUs stellen zwar sicher, dass Code nach einer Selbstmodifikation korrekt ist — sie löschen dabei aber nicht automatisch die alten Sprungvorhersagen für genau diese Speicherstelle. Wird dieselbe Speicheradresse von einer JIT-Engine (Just-in-Time-Compiler) für neuen Code wiederverwendet, kann ein Angreifer die veralteten Vorhersagen gezielt ausnutzen.
Betroffen sind damit all jene Programme, die zur Laufzeit eigenen Maschinencode erzeugen — etwa SpiderMonkey (die JavaScript-Engine in Firefox), GraalVM und, besonders brisant, der cBPF-JIT-Compiler im Linux-Kernel selbst.
DER SCHOCK-BEWEIS: Root-Hash in Minuten
Das Forscherteam — Sander Wiebing, Yuhui Zhu, Alessandro Biondi und Cristiano Giuffrida — baute zwei vollständige Exploits gegen den Linux-Kernel. Beide nutzen den klassischen BPF-JIT (cBPF) als Einstiegspunkt. Das Ergebnis laut Studie: Auf einem voll gepatchten Intel-System mit allen aktivierten Standard-Schutzmaßnahmen ließ sich der Root-Passwort-Hash in wenigen Minuten aus dem Kernel-Speicher extrahieren.
Bisher ist die Ausnutzung für Intel-Systeme bestätigt. Da das zugrunde liegende Verhalten der Sprungvorhersage aber kein Intel-spezifisches Detail ist, gehen die Forscher von einer breiteren Betroffenheit über mehrere Hersteller hinweg aus — Details dazu stehen noch aus.
WAS SCHON GETAN WURDE
Die Offenlegung erfolgte verantwortungsvoll: Bereits im Juli landeten erste Gegenmaßnahmen im Linux-Kernel, die eine Indirect Branch Predictor Barrier (IBPB) beim Anlegen von BPF-JIT-Speicher erzwingen. Mit der öffentlichen Offenlegung am 29. September sind nun die konkreten Fixes für CVE-2026-64507 und CVE-2026-64508 im Kernel gemerged. GraalVM randomisiert inzwischen die Speicherorte seines JIT-Codes, Mozilla setzt verstärkt auf Site-Isolation als zusätzliche Hürde.
WAS DU JETZT TUN SOLLTEST
- Kein Grund zur Panik: Es gibt bislang keine Hinweise auf Angriffe außerhalb des Labors — BTR ist ein Forschungsergebnis, kein aktiver Massenangriff.
- Trotzdem aktuell halten: Sobald deine Distribution die Kernel-Patches für CVE-2026-64507/64508 ausliefert, zeitnah einspielen — besonders auf Servern mit mehreren Nutzern oder Containern fremder Herkunft.
- Browser aktuell halten: Firefox-Updates mit verbesserter Site-Isolation genauso zeitnah übernehmen wie Kernel-Updates.
- Besonders betroffene Szenarien prüfen: Geteilte Server, auf denen fremder Code läuft — etwa Shared Hosting oder Multi-Tenant-Container-Umgebungen — sollten priorisiert werden.
FAZIT: Die Spectre-Familie ist noch nicht ausgestorben
Zehn Jahre nach der ersten Spectre-Enthüllung zeigt BTR: Die Grundidee — Seiteneffekte der Sprungvorhersage ausnutzen — lässt sich immer wieder neu kombinieren. Für dein Homelab oder deinen Server bedeutet das keinen Grund zur Panik, aber einen guten Grund, Kernel-Updates nicht monatelang liegen zu lassen. Genau dafür sind LTS-Kernel mit regelmäßigen Sicherheitspatches gemacht.