Die Woche, in der der Weg zu lokalem Root sich auf einmal öffnete — Linux-Kernel-LPEs treffen den KEV-Katalog von CISA, während öffentliche Exploits erscheinen
Am 18. September hat CISA drei aktiv ausgenutzte Schwachstellen im Linux-Kernel (CVE-2025-39682, CVE-2026-53266, CVE-2025-39964) in den KEV-Katalog aufgenommen, und Red Hat hat bestätigt, dass öffentlicher Exploit-Code existiert. Am selben Tag wurden funktionierende Exploits für vier Kernel-LPEs (DirtyAH6, TUNderflow, PPPoEject, DiagSpill) unter koordinierter Offenlegung veröffentlicht. Wir untersuchen, warum Privilege Escalation auf gemeinsam genutzten Hosts den Boundary-Appliances ins Rampenlicht folgt.
Dieser Artikel wurde maschinell übersetzt.
Am 18. September 2026 hat CISA drei Schwachstellen im Linux-Kernel aufgrund von Belegen für aktive Ausnutzung in seinen Katalog Known Exploited Vulnerabilities (KEV) aufgenommen: CVE-2025-39682 (CVSS 9.8, eine unsachgemäße Bedingungsprüfung im TLS-Empfangspfad des Kernels, die eine Offenlegung von Speicher oder Denial-of-Service erlaubt), CVE-2026-53266 (CVSS 8.8, ein Out-of-Bounds-Write im SNAT-ARP-Rewrite-Pfad von netfilter bridge ebtables, der lokale Privilege Escalation ermöglicht) und CVE-2025-39964 (CVSS 7.8, eine Race Condition, die gleichzeitige Schreibvorgänge auf denselben AF_ALG-Socket erlaubt). Zivile Bundesbehörden erhielten bis zum 21. September Zeit, Fixes anzuwenden. Für keine der drei hat CISA Einzelheiten einer Kampagne oder eine Zuschreibung an einen Threat Actor veröffentlicht, und ob sie eine einzelne Angriffskette bilden, bleibt unklar. Was bekannt ist: Red Hat hat die Advisories für alle drei zum Stand 19. September aktualisiert und festgehalten, dass die CVE hohes Risiko trägt und bekannte öffentliche Exploits existieren, und drängt auf Behebung mit hoher Priorität (laut The Hacker News, CISA und Red Hat).
Am selben Tag hat eine gesonderte Strömung die Angriffsfläche des Kernels verbreitert. Der Sicherheitsforscher Asim Manizada hatte Mitte Juli vier Schwachstellen zur lokalen Privilege Escalation (LPE) an das Security-Team des Linux-Kernels gemeldet — DirtyAH6 (CVE-2026-80844, IPsec AH6), TUNderflow (CVE-2026-81000, virtuelle Netzwerkgeräte TUN/TAP), PPPoEject (CVE-2026-68121, PPPoE) und DiagSpill (CVE-2026-74469, sctp_diag von SCTP). Am 18. September, nach einer koordinierten Zurückhaltung, damit Distributionen Fixes ausliefern konnten, veröffentlichte er technische Darstellungen mit funktionierenden Exploits. Alle vier sind in aktuellen Kerneln behoben, und es gibt keine Berichte über Einsatz in der realen Welt. Aber drei der vier — DirtyAH6, TUNderflow, PPPoEject — setzen voraus, dass unprivilegierte User Namespaces aktiviert sind, eine Funktion, die viele Distributionen standardmäßig aktivieren; die vierte, DiagSpill, erfordert überhaupt keine besonderen Privilegien, solange das SCTP-Modul verfügbar ist (laut der Berichterstattung von The Hacker News).
Analyse (von den Fakten getrennt): Das Eintreffen beider Geschichten am selben Tag markiert eine Verschiebung des Schwerpunkts vom 'Eingang' zu 'dem, was danach kommt.' In der vergangenen Woche hat dieses Observatorium die Root-Kompromittierung internetseitiger Boundary-Appliances behandelt — Cisco ISE und das Secure Email Gateway. Boundary-Appliances sind vom Entwurf her erreichbar, sodass die Frage 'ist es exponiert' sich von selbst beantwortet; die Kernel-Schwachstellen dieser Woche sind sämtlich local-first (die Auslösung aus der Ferne ist eng und auf Abstürze zentriert). Aus der Perspektive eines Angreifers zählt die wachsende Auswahl an Pfaden von einem ersten Standbein auf einem gemeinsam genutzten Host zu Root. Container-Hosts, CI-Runner, Server mit mehreren Mandanten und Umgebungen für AI-Workloads sind sämtlich Assets, deren Betriebsannahme lautet 'mehrere Parteien halten hier niedrig privilegierte Shells' — jeder öffentliche Exploit, der erscheint, senkt die Kosten lateraler Bewegung. Die veröffentlichten Exploits erfordern Berichten zufolge eine Abstimmung auf bestimmte Kernel-Builds und können die Maschine zum Absturz bringen; das ist eine Aussage über Entwicklungskosten, nicht über Ausnutzbarkeit.
Abwehrseitige Folgerungen: (1) Die drei KEV-Einträge unterliegen den Anforderungen der forensischen Triage aus BOD 26-04 von CISA, nicht nur dem Patchen — die Prüfung der Logs auf Kompromittierung vor dem Patch ist die Ausgangslage. (2) User Namespaces sind für viele Workloads wesentlich, aber auf Servern, die sie nicht benötigen, ist ihre Abschaltung eine Prüfung wert: Die Tatsache, dass drei der vier neuen LPEs diese eine Standardeinstellung voraussetzen, zeigt, wie viel Angriffsfläche des Kernels an einer Konfigurationswahl hängt. (3) Auf gemeinsam genutzten Hosts inventarisieren Sie die Struktur selbst — Mandantenisolation, kurzlebige CI-Runner, Isolation von AI-Workloads — neben dem Patchen je CVE, denn 'eine Person erhält Root, alle verlieren' ist eine Eigenschaft des Entwurfs, kein Patch-Stand. (4) Da eine Kompromittierung im Kernel-Space für Agenten im User-Space unsichtbar ist, ist die Ergänzung durch laufzeitbezogene Erkennung auf eBPF-Basis und Überwachung der Kernel-Integrität eine realistische Option. Die Fakten hier stützen sich auf den KEV-Alert von CISA (https://www.cisa.gov/news-events/alerts/2026/09/18/cisa-adds-two-known-exploited-vulnerabilities-catalog), die Berichterstattung von The Hacker News zu den KEV-Aufnahmen (https://thehackernews.com/2026/09/cisa-flags-three-linux-kernel.html) und zu den vier LPE-Offenlegungen (https://thehackernews.com/2026/09/public-exploits-released-for-four-linux.html) sowie das Advisory von Red Hat (https://access.redhat.com/security/cve/cve-2025-39682). Die Analyse wird von der Berichterstattung getrennt gehalten.