LONDON (IT BOLTWISE) – Eine neu entdeckte Linux-Kernel-Lücke namens „Bad Epoll“ (CVE-2026-46242) erlaubt einem unprivilegierten Nutzer Root-Zugriff. Sie betrifft Linux-Desktops, Server und auch Android und wurde bereits behoben. Der Angriffsweg ist technisch anspruchsvoll: Ein Use-after-free-Race kollidiert in wenigen Maschineninstruktionen, sodass wiederholtes Ausprobieren entscheidend ist. Gleichzeitig wirft die Entdeckung ein Schlaglicht auf Grenzen KI-gestützter Bug-Suche, nachdem eine KI zuvor eine nahe verwandte Schwachstelle fand.
Eine neue Kernel-Schwachstelle erhöht den Druck auf Unternehmen, die Patch-Zyklen für Linux und Android eng zu takten: „Bad Epoll“ (CVE-2026-46242) ermöglicht es laut der öffentlichen Ausarbeitung, dass ein normaler Benutzer ohne spezielle Rechte die Kontrolle über ein System bis hin zum Root-Zugriff übernimmt. Betroffen sind Linux-Desktops und -Server, aber auch Android-Geräte. Bemerkenswert ist dabei nicht nur die Reichweite, sondern auch die Qualität des Angriffs: Das Zeitfenster für die eigentliche Ausnutzung ist winzig und erzwingt Wiederholungen, statt dass ein einzelner Treffer genügt.
Technischer Kern von Epoll ist eine zentrale Betriebssystem-Komponente, die Programmen erlaubt, viele Datei- oder Netzwerkereignisse effizient zu überwachen. Genau deshalb lässt sich Epoll nicht einfach „abschalten“ wie bei manchen Spezialfunktionen. „Bad Epoll“ gehört außerdem nicht zu den klassischen, leicht zu deaktivierenden Fehlerklassen, sondern zu einem Use-after-free: Zwei unterschiedliche Kernel-Pfade versuchen denselben internen Speicherbereich gleichzeitig aufzuräumen. Dabei wird ein Objekt freigegeben, während ein anderer Pfad noch in denselben Speicher schreibt. Diese kurze Kollision kann dadurch Kernel-Speicher manipulieren und den Privilege-Übergang ermöglichen.
Für die Praxis ist die Timing-Komponente entscheidend: Die reale Angriffsoberfläche ist nicht nur funktional, sondern auch zeitkritisch. Der öffentlich beschriebene Exploit vergrößert laut Autor die Wahrscheinlichkeit, dass genau in dem kritischen Moment beide Pfade kollidieren. Dadurch steigt die Erfolgsquote auf getesteten Systemen auf rund 99 Prozent, während „zufälliges“ Ausprobieren fast nie zum Ziel führt. Zusätzlich macht es die Schwachstelle gefährlicher, dass sie nach Einschätzung des Forschers innerhalb der Chrome-Renderer-Sandbox ausgelöst werden kann. Diese Sandbox schirmt viele Kernel-Fehler ab, aber nicht alle – und hier wird genau diese Lücke ausgenutzt.
Der Patch ist ein weiterer zentraler Punkt für die IT-Betriebsplanung. Empfohlen wird das Upstream-Commit a6dc643c6931 bzw. ein entsprechendes Distribution-Backport, sobald es verfügbar ist. Dabei gilt: Kernels, die auf 6.4 oder neuer basieren, sind betroffen, sofern sie den Fix nicht bereits enthalten. Ältere 6.1-basierte Kernels – einschließlich bestimmter Android-Installationen wie einiger Geräte der Pixel-Generation – sollen dagegen nicht betroffen sein, weil der problematische Codepfad erst später in die relevanten Versionen gelangte. Diese Versionslogik ist für Sicherheits-Teams wichtig, um das Risiko nicht pauschal, sondern zielgerichtet zu priorisieren.
Im Marktumfeld fällt auf, dass parallel zur Offenlegung eine KI-basierte Forschung Schlagzeilen gemacht hat. Anthropic hatte mit dem Modell „Mythos“ zuvor eine andere Kernel-Sicherheitslücke in demselben engen Codebereich identifiziert, die nun als CVE-2026-43074 geführt wird. Laut der Darstellung fand die KI also offenbar einen verwandten Fehler, übersah aber „Bad Epoll“. Als mögliche Gründe nennt der Forscher vor allem die extrem kleine Timing-Wahrscheinlichkeit und eine geringe Laufzeit-Signatur: Wenn die „erste“ Lücke gepatcht ist, löst das Speicherproblem offenbar häufig keinen Alarm im Hauptdetektor KASAN aus. Das ist ein typisches Muster bei Race-Conditions: Es fehlt an deterministischer Reproduzierbarkeit, wodurch sowohl KI-Analyse als auch Laufzeitsensorik schwerer werden.
Auch die Einordnung in eine breitere Reihe ähnlicher Kernel-Risiken ist relevant. „Bad Epoll“ reiht sich in die bekannte Familie von „Bad“-Kernelbugs ein, die in der Vergangenheit genutzt wurden, um Android zu kompromittieren – zuvor etwa „Bad Binder“, „Bad IO_uring“ und „Bad Spin“. Gleichzeitig zeigt der Vergleich mit deterministischen Ketteffekten: Viele jüngere Angriffe sind zwar ebenfalls kritisch, aber unterscheiden sich im Mechanismus. So basieren etwa Copy-Fail-Varianten (CVE-2026-31431) oder andere Page-Cache-Write-Klassen eher auf deterministischen Schreib-/Race-Freiräumen ohne „perfekte“ Timing-Wahl. „Bad Epoll“ dagegen verlangt einen Treffer in einem besonders kurzen Zeitfenster – das macht Entwicklung und Ausnutzung anspruchsvoller, erhöht aber die Hürde bei der frühen Entdeckung.
Für Betreiber kommt außerdem der Blick auf potenzielle Nebenpfade hinzu. Eine öffentliche Proof-of-Concept existiert zusätzlich zu einer separaten FUSE-Schwachstelle (CVE-2026-31694), die laut Berichten von Bynario entdeckt wurde: Ein lokaler Nutzer mit FUSE-Zugriff kann dem Kernel einen manipulierten Dateisystem-Input geben und dabei speicherseitige Fehler provozieren. Je nach Setup reicht das Spektrum von Root-Zugriff über Datenlecks bis zu Systemcrashs. Solche Pfade werden in Containern und mit User-Namespaces häufiger sichtbar, weshalb das Risiko in der Praxis oft eher eine Server-/Container als eine klassische „Handy“-Story ist. Experten berichten in diesem Kontext regelmäßig, dass Container-Workloads oft ähnliche Angriffsflächen wie klassische Server konzentrieren, nur mit anderer Zugriffsdynamik.
Regulatorisch und organisatorisch bleibt die Frage nach „Ausnutzung in der Wildnis“ die zweite Schiene neben dem Patchen. Zum aktuellen Stand soll „Bad Epoll“ nicht auf CISA’s „Known Exploited Vulnerabilities“-Liste stehen, und es gibt bislang nur den KernelCTF-Proof-of-Concept-Code, der die Machbarkeit untermauert. Trotzdem ist die Abwesenheit auf Listen keine Entwarnung: Gerade bei komplexen Race-Conditions kann es dauern, bis aus einem funktionierenden PoC ein zuverlässiger Angriff in der Praxis wird. In der Sicherheitsplanung empfiehlt es sich, die betroffenen Kernel-Versionen unabhängig davon zu priorisieren, ob bereits „in the wild“-Indikatoren existieren.
Mit Blick nach vorn zeigt der Fall vor allem eines: Race-Conditions sind in jeder Phase zäh – schwer zu finden, schwer zu patchen, schwer zuverlässig auszunutzen. Der erste Fix für die verwandte Schwachstelle habe offenbar nicht ausgereicht, und selbst ein korrekter Patch habe rund zwei Monate gedauert. Das ist ein wichtiges Signal für die Entwicklung von Sicherheitsprozessen: KI-Assistenz kann die Suche beschleunigen, aber sie ersetzt nicht die Validierung, Testabdeckung und die systematische Mutation von Angriffsbedingungen in engen Timingfenstern. Für Entwickler von Security- und Betriebssystem-Tooling heißt das, dass Detektoren (wie KASAN) und Privilege-Transition-Monitoring weiter gezielt auf „stille“ Fehlerklassen trainiert werden müssen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Bad Epoll: Linux-Kernel-Lücke ermöglicht Root für Unprivilegierte" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Bad Epoll: Linux-Kernel-Lücke ermöglicht Root für Unprivilegierte" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Bad Epoll: Linux-Kernel-Lücke ermöglicht Root für Unprivilegierte« bei Google Deutschland suchen, bei Bing oder Google News!