Linux-Kernel CVE-2026-23111: Ein-Zeichen-Fehler in nf_tables ermöglicht lokale Root-Eskalation – öffentliche Exploits verfügbar
CVE-2026-23111 (CVSS 7.8): Eine Use-after-Free-Lücke in Linux nf_tables erlaubt lokale Root-Eskalation und Container-Escape. Zwei öffentliche Exploits sind verfügbar – Patches für Ubuntu, Debian, Red Hat und SUSE stehen bereit.
Eine einzelne invertierte Bedingung im Linux-Kernel-Code reicht aus, um einem unprivilegierten lokalen Angreifer vollständige Root-Rechte zu verschaffen. CVE-2026-23111 (CVSS 7.8) ist eine Use-after-Free-Schwachstelle im nf_tables-Paketfiltersubsystem des Linux-Kernels. Der Upstream-Patch existiert seit dem 5. Februar 2026, doch die öffentliche Verfügbarkeit zweier unabhängiger Exploits – zuletzt von Exodus Intelligence am 8. Juni 2026 – erhöht den Handlungsdruck für Systemadministratoren erheblich.
Die Schwachstelle: Ein invertiertes Ausrufezeichen mit Root-Folgen
Der Fehler liegt in einem einzelnen invertierten Bedingungsoperator (!) im nf_tables-Code des Linux-Kernels. Durch diesen Logikfehler wird nach dem Setzen von Chain->use auf Null ein DELCHAIN-Aufruf ermöglicht, der die Chain freigibt – während Catchall-Verdict-Elemente weiterhin auf den freigegebenen Speicherbereich zeigen. Das klassische Use-after-Free-Muster erlaubt es einem Angreifer, diesen dangling pointer kontrolliert auszunutzen.
Entscheidend für die praktische Ausnutzbarkeit: Angreifer benötigen lediglich Zugang zu unprivilegierten User-Namespaces, um Kernel-Code zu erreichen, der sonst unzugänglich wäre. Auf Ubuntu-Systemen sind diese standardmäßig aktiviert, was die Angriffsfläche erheblich vergrößert.
Exodus Intelligence veröffentlichte am 8. Juni 2026 einen vollständigen technischen Exploit unter dem Namen „Off By !" und dokumentiert eine Zuverlässigkeit von über 99 Prozent auf ruhenden Systemen. Bereits im April 2026 hatte FuzzingLabs eine unabhängige Reproduktion der Schwachstelle publiziert. Damit existieren aktuell zwei öffentliche Exploits.
Bin ich betroffen?
Betroffen sind Linux-Systeme mit aktiviertem nf_tables und aktivierten unprivilegierten User-Namespaces. Das umfasst insbesondere:
| Distribution | Betroffene Versionen | Status |
|---|---|---|
| Ubuntu | 22.04 LTS, 24.04 LTS, 25.10 | Patch verfügbar (USN) |
| Debian | Bookworm, Trixie; 6.1-Backport für Bullseye LTS | Patch verfügbar (DSA) |
| Red Hat / RHEL | RHEL-Versionen (RHSA-2026:6570) | Patch verfügbar |
| SUSE | Betroffene Kernel-Versionen | Patch wird getrackt |
| Amazon Linux | Betroffene Kernel-Versionen | Patch wird getrackt |
Ob unprivilegierte User-Namespaces auf einem System aktiv sind, lässt sich mit folgendem Befehl prüfen:
sysctl kernel.unprivileged_userns_cloneGibt der Befehl 1 zurück, ist das System potenziell angreifbar, sofern kein Patch eingespielt wurde. Auf Systemen ohne nf_tables-Unterstützung im Kernel ist die Angriffsfläche nicht vorhanden.
Wie behebe ich das?
Die empfohlene Maßnahme ist das sofortige Einspielen der distributionsspezifischen Kernel-Patches:
- Ubuntu: Über das reguläre Ubuntu Security Notices (USN) Update für 22.04, 24.04 und 25.10
- Debian: Debian Security Advisory (DSA) für Bookworm und Trixie; 6.1-Backport für Bullseye LTS
- Red Hat / RHEL: Advisory RHSA-2026:6570 einspielen
- SUSE und Amazon Linux: Jeweils aktuelle Sicherheitsupdates über den distributionseigenen Paketmanager
Wo ein sofortiger Neustart des Systems nicht möglich ist, steht ein Workaround zur Verfügung: Das Deaktivieren unprivilegierter User-Namespaces unterbricht den primären Angriffspfad:
sysctl -w kernel.unprivileged_userns_clone=0Um die Einstellung dauerhaft zu setzen, sollte die Zeile kernel.unprivileged_userns_clone=0 in /etc/sysctl.conf oder einer Datei unter /etc/sysctl.d/ eingetragen werden. Zu beachten ist, dass dieser Workaround bestimmte Anwendungen wie Browser mit Sandbox-Funktionen oder Container-Runtimes beeinträchtigen kann. Wie Linux-Server grundlegend gehärtet werden, erläutert die Anleitung Linux-Server absichern mit UFW und Fail2ban.
Was bedeutet das für Unternehmen?
CVE-2026-23111 ist trotz des „nur" als hoch eingestuften CVSS-Werts von 7.8 aus mehreren Gründen als dringlich einzustufen. Die Kombination aus öffentlich verfügbaren, hochzuverlässigen Exploits und der weiten Verbreitung betroffener Standardkonfigurationen – insbesondere auf Ubuntu – macht die Schwachstelle zu einem attraktiven Ziel für Angreifer mit lokalem Zugang.
Besonders gefährdet sind Multi-Tenant-Umgebungen, CI/CD-Pipelines und Cloud-Instanzen, auf denen nicht vollständig vertrauenswürdige lokale Nutzer oder automatisierte Prozesse aktiv sind. Der dokumentierte Container-Escape-Vektor ist für geteilte Container-Infrastrukturen ein ernsthaftes Risiko: Ein kompromittierter Container-Workload könnte den gesamten Host übernehmen.
Angesichts der Tatsache, dass der Upstream-Patch bereits seit Februar 2026 vorliegt und nun zwei öffentliche Exploits kursieren, ist eine Verzögerung beim Patchen schwer zu rechtfertigen. Administratoren sollten die Kernel-Updates prioritär behandeln und den Workaround als Überbrückungsmaßnahme einsetzen. Ebenfalls empfehlenswert ist die Überprüfung von Kernel-Logs und Privilege-Escalation-Ereignissen, wie es im Rahmen eines strukturierten Log-Managements mit journalctl sinnvoll ist.
Quellen
The Hacker News: One-Character Linux Kernel Flaw Enables Local Root Access, Exploits Now Public | Exodus Intelligence: Off By !: Exploiting a Use-after-Free in the Linux Kernel | FuzzingLabs: Reproducing CVE-2026-23111 | Ubuntu Security: CVE-2026-23111 | Red Hat Security Advisory RHSA-2026:6570
