Дослідники виявили вразливість ядра Linux під назвою GhostLock, яка залишалася прихованою протягом 15 років. Вона дозволяє зловмисникам з локальним доступом отримувати root-права практично на кожному основному дистрибутиві Linux, випущеному з 2011 року.
GhostLock, зареєстрована під ідентифікатором CVE-2026-43499, з’явилася ще в Linux 2.6.39 і залишалася непоміченою понад 15 років. Лише у Linux 7.1 розробники усунули цю проблему.
Вразливість дозволяє локальному зловмиснику отримати повні права root, фактично перебравши контроль над скомпрометованою системою.
Причиною стала помилка в допоміжній функції системи планування ядра Linux, яка відповідає за очищення завдань після їх завершення. За нормальних умов вона коректно звільняє пам’ять, однак у разі взаємоблокування та запуску механізму відкату функція може передчасно звільнити область пам’яті, на яку інше завдання все ще зберігає посилання.
У результаті виникає класична ситуація use-after-free. Це дає змогу зловмиснику змінити вже звільнену пам’ять до того, як вона буде повторно використана системою. Під час дослідження фахівці успішно використали цю помилку для локального підвищення привілеїв до рівня root.
Під час тестування експлойт спрацьовував приблизно у 97% випадків. За виявлення цієї вразливості дослідники також отримали 92 337 доларів винагороди в межах програми Google kernelCTF.
Наразі практичного способу захиститися від GhostLock без оновлення системи немає. Єдиним повноцінним рішенням залишається встановлення версії ядра, у якій ця вразливість уже виправлена.
GhostLock вдалося знайти за допомогою VEGA – AI-агента для пошуку вразливостей і перевірки безпеки, створеного компанією Nebula Security. Розробники стверджують, що VEGA здатна знаходити подібні помилки значно швидше, ніж це можуть зробити люди.
