L'11 luglio 2026 la comunità della sicurezza ha preso atto di GhostLock (CVE-2026-43499), una vulnerabilità use-after-free nel kernel Linux esistita per 15 anni, scoperta da Nebula Security attraverso VEGA, il suo strumento di ricerca bug basato su intelligenza artificiale. Il difetto permette a qualsiasi utente con accesso locale di ottenere privilegi di root e di evadere dai container. Google ha assegnato 92.337 dollari tramite il programma kernelCTF, ma la distribuzione delle patch resta frammentata e il codice di exploit è già pubblico.
- VEGA, strumento AI di Nebula Security, ha individuato GhostLock (CVE-2026-43499) nel codice rtmutex del kernel Linux, introducendo un nuovo paradigma nella ricerca automatica di vulnerabilità in codebase maturi.
- La vulnerabilità use-after-free ha 15 anni di anzianità: introdotta in Linux 2.6.39 (2011), secondo il record NVD interessa versioni fino alla 7.0.4.
- L'exploit di Nebula raggiunge il 97% di affidabilità nei test ed evade i container in circa cinque secondi su macchina di prova.
- La correzione upstream risale ad aprile 2026, ma Ubuntu 24.04, 22.04 e 20.04 LTS risultavano ancora vulnerabili o in aggiornamento a inizio luglio; la patch originale ha generato un secondo bug (CVE-2026-53166).
Il meccanismo: quando il rollback pulisce il task sbagliato
La falla risiede nella funzione remove_waiter() del sottosistema rtmutex, coinvolta nel meccanismo di proxy-lock attivato da futex_requeue(). In condizioni normali il rilascio del lock opera sul task corretto. In un caso limite, quando l'operazione di lock incontra un vicolo cieco e deve annullarsi, la routine di cleanup interviene sul task sbagliato — current invece di waiter::task — lasciando un puntatore stale verso memoria già liberata. Quel puntatore, secondo il record ufficiale CVE-2026-43499 del National Vulnerability Database, configura una classica condizione use-after-free catalogata come CWE-416.
"Trusting that stale pointer is the whole bug, the kind of slip known as a use-after-free" — The Hacker News, analisi tecnica di GhostLock
Il vettore non richiede privilegi speciali, configurazioni anomale né accesso di rete. Secondo la matrice CVSS 3.1 pubblicata da kernel.org (CNA autoritativo per il CVE), il punteggio è 7.8 con vettore AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H: accesso locale, complessità di attacco bassa, privilegi ridotti richiesti, nessuna interazione utente necessaria. The Hacker News riferisce che Nebula ha impiegato circa cinque secondi per ottenere root sulla macchina di test. L'exploit funziona nel 97% dei tentativi ed evade i container, rendendo il bug particolarmente pericoloso in ambienti multi-tenant come cloud pubblici, CI/CD condivisi e sistemi a utenza multipla.
Il contesto della scoperta: l'AI che rilegge codice che nessuno rileggeva più
GhostLock non è un'isola. WIRED colloca la scoperta in una sequenza più ampia: "Nebula found it with VEGA, its AI-driven bug-hunting tool, part of a 2026 run of Linux privilege-escalation flaws surfaced by automated tools combing old kernel code few had reread in years". L'enfasi è sul poco — il codice del percorso futex/rtmutex non riceveva revisione umana sistematica da oltre un decennio. VEGA ha operato come lettore automatico persistente, applicando analisi simbolica o pattern-matching su percorsi di esecuzione che gli auditor umani avevano deprioritizzato.
La conferma materiale arriva dal bounty: Google ha versato 92.337 dollari a Nebula Security tramite kernelCTF. SecurityWeek corrobora indipendentemente l'importo, il CVE e il meccanismo use-after-free. La consistenza tra fonti primarie multiple (WIRED per il contesto mediatico, The Hacker News per la profondità tecnica, NVD per i dati ufficiali, SecurityWeek per la verifica) rende il quadro robusto.
La catena IonStack: da link malevolo a root su Firefox Android
The Hacker News documenta che GhostLock costituisce la seconda metà della catena IonStack, accoppiata con CVE-2026-10702 (vulnerabilità Firefox con CVSS 4.3 MEDIUM). La dimostrazione completa mostra un percorso da link maligno a root su dispositivo Android tramite browser Firefox. Questo allarga la superficie d'attacco oltre il server Linux tradizionale: un utente con Firefox Android su kernel vulnerabile rischia escalation completa se induce aperto un link preparato ad arte. Non emergono sovrapposizioni infrastrutturali che colleghino la catena IonStack a campagne note allo stato attuale, e il dossier non documenta exploitation in-the-wild.
La situazione delle patch: corretta, ritrovata, e ancora incompleta
Il commit correttivo 3bfdc63936dd risale ad aprile 2026, ma la distribuzione ha incontrato ostacoli concreti. The Hacker News segnala esplicitamente: "Install your distribution's current kernel, not just the first patched build. The original fix introduced a separate crash bug (CVE-2026-53166)". A inizio luglio 2026 la risoluzione di CVE-2026-53166 era ancora in sedimentazione upstream. Nel frattempo Ubuntu elencava le versioni LTS 24.04, 22.04 e 20.04 come vulnerabili o in corso di aggiornamento.
Il dato ha implicazioni operative immediate: amministratori attenti che avessero applicato tempestivamente la prima patch si sono ritrovati con un kernel che generava crash, non con una protezione stabile. La vicenda illustra come la velocità di risposta, senza verifica della qualità del fix, possa produrre instabilità equivalenti alla vulnerabilità originaria.
Cosa fare adesso
- Verificare la versione del kernel in esecuzione: secondo il record NVD, le versioni da Linux 2.6.39 a 7.0.4 rientrano nel perimetro di CVE-2026-43499.
- Installare la build kernel più recente disponibile per la propria distribuzione, non la prima patch storica: la correzione iniziale ha introdotto CVE-2026-53166.
- Monitorare le advisory di Ubuntu e delle proprie distribuzioni per lo stato specifico di ciascun rilascio LTS, dato che la disponibilità varia per canale.
- Valutare la segmentazione dei carichi di lavoro containerizzati su nodi con kernel verificato, considerando la capacità documentata di GhostLock di evadere dai container.
Il cambiamento di paradigma: quando l'AI scova ciò che la revisione umana non trova più
GhostLock segna un punto di svolta nella percezione della sicurezza del software open source maturo. Per quindici anni il codice rtmutex ha funzionato abbastanza bene da non richiamare attenzione, ma abbastanza male da contenere un difetto fatale. L'intervento di VEGA dimostra che gli strumenti automatizzati possono rivalutare code path storici con una pazienza che gli auditor umani non possono replicare a scale industriali. Il rischio collaterale è la velocità di disclosure: con il codice exploit pubblico e le patch incomplete, la finestra di esposizione resta aperta per milioni di sistemi.
Il messaggio per chi gestisce infrastrutture Linux non è che il kernel sia fragile, ma che la maturità del codice non equivale alla maturità della protezione. La prossima vulnerabilità con quindici anni di anzianità potrebbe essere già nel repository, in attesa che un'altra macchina la trovi.
Fonti
- https://www.wired.com/story/security-news-this-week-ai-found-a-root-bug-in-linux-that-everyone-missed-for-15-years/
- https://hackaday.com/2026/05/22/this-week-in-security-ai-generated-reports-more-ai-generated-reports-github-chaos-and-more-linux-vulnerabilities/
- https://www.chinatechnews.com/2026/07/11/125341-ai-found-a-root-bug-in-linux-that-everyone-missed-for-15-years
- https://news.ycombinator.com/item?id=48873669
- https://thehackernews.com/2026/07/15-year-old-ghostlock-flaw-enables-root.html
- https://www.techtimes.com/articles/321359/20260723/linux-kernel-flaw-exposes-16-million-rhel-systems-silent-root-takeover.htm
- https://www.infosecurity-magazine.com/news/zero-day-2017-linux-kernel/
- https://nvd.nist.gov/vuln/detail/CVE-2026-43499
- https://www.govinfosecurity.com/american-hackers-for-hire-proposal-sparks-heavy-criticism-a-32176
- https://krebsonsecurity.com/2026/05/cisa-admin-leaked-aws-govcloud-keys-on-github/
- https://www.securityweek.com/15-year-old-linux-vulnerability-ghostlock-earns-researchers-92k-from-google/
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.