La sicurezza del kernel Linux torna al centro dell’attenzione dopo la scoperta di due vulnerabilità ad alta gravità che hanno richiesto interventi immediati da parte degli sviluppatori. I problemi, identificati come CVE-2026-53359 e CVE-2026-43499, erano presenti rispettivamente da 16 e 15 anni e interessano componenti fondamentali del sistema operativo.
Entrambe le falle sono già state corrette nel kernel Linux, ma evidenziano come anche codice consolidato e utilizzato quotidianamente possa contenere difetti difficili da individuare. Le due scoperte hanno inoltre ricevuto importanti ricompense economiche attraverso il programma kernelCTF di Google, con un premio di 250.000 dollari per la vulnerabilità più critica.
Januscape mette nel mirino la virtualizzazione KVM
La vulnerabilità CVE-2026-53359, soprannominata Januscape, interessa KVM (Kernel-based Virtual Machine), la tecnologia di virtualizzazione integrata nel kernel Linux e largamente impiegata nei data center e nei principali servizi cloud.
Il ricercatore Hyunwoo Kim ha dimostrato che un utente con privilegi di amministratore all’interno di una macchina virtuale può sfruttare un errore nella gestione della memoria per compromettere il sistema host. In pratica, l’attacco permette di superare l’isolamento normalmente garantito tra macchina virtuale e host fisico.
Le possibili conseguenze comprendono:
- arresto del sistema host con conseguente indisponibilità delle altre macchine virtuali;
- esecuzione di codice con privilegi root sul server fisico;
- compromissione delle altre istanze ospitate sullo stesso hardware.
La vulnerabilità deriva da un classico errore di tipo use-after-free, cioè l’utilizzo di un’area di memoria già liberata. Il difetto coinvolge la gestione della shadow MMU, il meccanismo che supporta la traduzione degli indirizzi di memoria durante la virtualizzazione.
Un aspetto particolarmente importante è che il problema riguarda direttamente KVM e non QEMU. Questo significa che anche infrastrutture cloud dotate di stack di virtualizzazione personalizzati possono risultare vulnerabili se utilizzano KVM. Il ricercatore ha pubblicato una proof of concept capace di mandare in crash il sistema host, mentre il codice completo per ottenere la fuga dalla macchina virtuale non verrà diffuso nel prossimo futuro.
GhostLock consente l’escalation dei privilegi
La seconda vulnerabilità, identificata come CVE-2026-43499 e denominata GhostLock, riguarda invece il sottosistema futex priority inheritance, utilizzato dal kernel Linux per la sincronizzazione tra processi.
Il problema è stato individuato dai ricercatori di Nebula Security mediante Vega, uno strumento di analisi assistito dall’intelligenza artificiale dedicato alla ricerca di vulnerabilità.
Anche in questo caso l’origine è un errore use-after-free. Durante una particolare procedura di pulizia, il kernel mantiene un puntatore verso memoria ormai liberata, creando le condizioni per ottenere privilegi elevati attraverso una serie di passaggi concatenati.
GhostLock ha ricevuto un punteggio CVSS di 7,8 su 10, risultando meno critica rispetto a Januscape ma comunque pericolosa, poiché consente a un utente locale con privilegi limitati di ottenere l’accesso root al sistema.
Google ha assegnato ai ricercatori di Nebula Security una ricompensa di 92.337 dollari, sempre nell’ambito del programma kernelCTF dedicato alla sicurezza del kernel Linux.
Le correzioni per entrambe le vulnerabilità sono già state integrate nelle versioni aggiornate del kernel. Gli utenti e gli amministratori di sistema dovrebbero verificare che la propria distribuzione Linux abbia distribuito gli aggiornamenti di sicurezza più recenti, soprattutto negli ambienti server e cloud dove KVM viene utilizzato per ospitare macchine virtuali di più clienti.
Fonte: arstechnica
