GhostLock: 15 Jahre alter Linux-Kernel-Fehler ermöglicht Root-Zugriff und Container-Escape
GhostLock (CVE-2026-43499) ist ein 15 Jahre alter Use-After-Free im Linux-Kernel, der jedes lokale System seit 2011 betrifft. PoC-Code ist oeffentlich verfügbar.
Am 7. Juli 2026 haben Sicherheitsforscher von Nebula Security den Linux-Kernel-Bug CVE-2026-43499 offengelegt, intern "GhostLock" genannt. Der Fehler existiert seit Linux 2.6.39 (2011) und ermöglicht jedem lokalen User, Root-Rechte zu erlangen. Zusätzlich kann ein Angreifer aus einem Container ausbrechen und das Host-System übernehmen. PoC-Code ist öffentlich auf GitHub verfügbar.
Was ist passiert?
GhostLock liegt im real-time Mutex (rtmutex) Subsystem des Kernels, genauer in der Priority-Inheritance-Logik des futex-Mechanismus. Durch einen Race-Zustand kombiniert mit Use-After-Free kann ein unprivilegierter lokaler Prozess beliebigen Speicher im Kerneladressraum beschreiben. Das führt direkt zu vollem Root-Zugriff.
Der Bug wurde von einem KI-unterstützten Code-Review-Prozess entdeckt, der den Kernel-Code systematisch auf klassische Memory-Safety-Muster durchsucht hat. Red Hat, AlmaLinux und alle großen Distributionen haben bis zum 10. Juli 2026 gepatchte Kernel bereitgestellt.
Wer ist betroffen?
Betroffen ist jeder Linux-Server, Arbeitsplatzrechner oder Container-Host mit einem Kernel ab Version 2.6.39. Das umfasst nahezu alle Distributionen: Ubuntu, Debian, Red Hat, AlmaLinux, Rocky Linux, SUSE und Fedora in ihren aktuellen und aelteren Versionen. Besonders kritisch: In Container-Umgebungen (Docker, Kubernetes, Podman) ermöglicht der Bug einen vollständigen Container-Escape auf den Host, auch ohne besondere Capabilities.
Wie kritisch ist das?
CVSS 7.8 (High). Der Angriff erfordert lokalen Zugang, kein Passwort, keine speziellen Rechte. PoC-Code ist öffentlich. für Hosts mit lokalen Nutzern oder Container-Workloads ist die Schwachstelle als kritisch einzustufen, weil ein einfach compromitteter User-Account sofort Root-Rechte und Host-Zugang erhält.
Was sollten Admins jetzt tun?
- Sofort prüfen: Kernel-Version mit
uname -rermitteln. Alles unter 7.1.0 (bzw. den jeweiligen stabilen Patch-Release) ist betroffen. - Kernel aktualisieren: Sicherheitsupdate des jeweiligen Distro-Vendors installieren. Red Hat hat RHSB-2026-010 veröffentlicht, AlmaLinux und Ubuntu haben am 8.-9. Juli gepatcht.
- Container-Hosts priorisieren: Docker- und Kubernetes-Hosts haben durch die Container-Escape-möglichkeithöchste Prioritaet.
- Livepatching: Falls ein Neustart kurzfristig nicht möglich ist, bieten KernelCare (CloudLinux) und Canonical Livepatch sofortige Abhilfe ohne Restart.
- Kein Workaround: Es gibt keinen präventiven Fix ohne Kernel-Patch. Die einzige Absicherung ist das Update.
Einordnung für Unternehmen
für KMU mit Linux-Servern oder Docker-Setups ist GhostLock ein Pflicht-Update. Jeder Server mit lokalen User-Accounts oder Container-Workloads ist potenziell gefährdet. Besonders betroffen: Shared-Hosting-Umgebungen, Entwickler-Server und Container-Plattformen, bei denen User Code ausführen dürfen.
Passende Anleitungen auf S-EDV
- DirtyClone CVE-2026-43503: Eine weitere aktuelle Linux-Kernel-Root-Luecke – Vergleichsfall für eine weitere jüngste Linux-Kernel-Privilegieneskalation.
- Linux Foundation AKRITES: Open-Source-Sicherheit und KI-Bedrohungen – Strategischer Kontext zur Open-Source-Sicherheit.
