Rocky Linux rilascia la patch Januscape: due CVE o nessuna, il…

Il 13 luglio 2026 Rocky Linux ha pubblicato l'errata di sicurezza RLSA-2026:36957 per il kernel di Rocky Linux 9, un aggiornamento che corregge due vulnerabilità

{"main_topic":"cybersecurity","topics":["vulnerabilita","cve","linux","cloud","enterprise"]}

Il 13 luglio 2026 Rocky Linux ha pubblicato l'errata di sicurezza RLSA-2026:36957 per il kernel di Rocky Linux 9, un aggiornamento che corregge due vulnerabilità distinte nel sottosistema KVM — CVE-2026-53359 e CVE-2026-46113 — legate a un difetto presente nel codice da 16 anni. La distribuzione mette in guardia esplicitamente: applicare una sola delle due patch lascia l'host completamente esposto a un crash del kernel o, in condizioni di virtualizzazione annidata, a una fuga della macchina virtuale verso l'host fisico.

Punti chiave

Rocky Linux ha rilasciato RLSA-2026:36957 il 13 luglio 2026 per Rocky Linux 9, coprendo entrambe le vulnerabilità KVM CVE-2026-53359 e CVE-2026-46113.
CVE-2026-53359 corregge un use-after-free nell'unità di gestione della memoria shadow x86 di KVM introdotto nell'agosto 2010, mentre CVE-2026-46113 chiude il caso wrong-GFN (leaf) con commit 0cb2af2ea66a.
La distribuzione avverte che l'applicazione di una sola patch lascia aperto un percorso di attacco completo; la verifica tramite CVE ID singolo genera falsa sicurezza.
Su Rocky Linux 9 e derivati RHEL, /dev/kvm ha permessi 0666 per impostazione predefinita: qualsiasi utente locale può innescare il bug senza eseguire macchine virtuali.

Il meccanismo Januscape: due facce dello stesso difetto

Il ricercatore Hyunwoo Kim, noto come @v4bel, ha reso pubblico il difetto il 6 luglio 2026. Il bug risiede nella gestione della memoria shadow dell'architettura x86 in KVM: il sistema riutilizza le strutture delle tabelle di pagina confrontando il guest frame number (gfn) senza convalidare il campo role.word. Quando un ospite rimappa una voce di directory di pagina da foglia a non-foglia o viceversa, il riutilizzo della struttura shadow provoca un use-after-free.

Questo meccanismo produce due modalità di fallimento distinte. La prima, wrong-role, si verifica quando il tipo di pagina cambia senza che il gestore shadow ne riconosca la transizione. La seconda, wrong-GFN, colpisce il caso leaf in cui il frame number viene abbinato erroneamente. Il commit 81ccda30b4e8, integrato nel kernel mainline il 19 giugno 2026, risolve la prima modalità. Il commit 0cb2af2ea66a, integrato a maggio 2026, risolve la seconda. Entrambi devono essere presenti nel changelog del pacchetto kernel per garantire la protezione completa.

Kim ha pubblicato una proof-of-concept che causa il panic del kernel host in pochi secondi o minuti. Il ricercatore ha confermato separatamente l'esistenza di un exploit non pubblicato in grado di ottenere l'esecuzione di codice come root sull'host fisico. La fonte non specifica se o quando tale exploit verrà reso pubblico.

La trappola operativa della verifica singola-CVE

L'angolo di rischio più insidioso è amministrativo, non puramente tecnico. Gli standard di verifica delle patch nei centri dati enterprise si basano tipicamente sul controllo dell'identificatore CVE: se il sistema di gestione delle vulnerabilità riporta il CVE come risolto, l'operatore chiude il ticket. Questo flusso di lavoro fallisce completamente con Januscape.

"A system that only patches the first CVE is still exploitable. If you're checking patch status by CVE ID alone — which is how most admins check — you can come away thinking you're covered when you're not."

Secondo TechTimes, amministratori che avevano applicato la correzione CVE-2026-46113 a maggio 2026 considerando risolta la questione shadow paging KVM rimangono completamente esposti a Januscape. Il motivo è semplice: CVE-2026-46113 non tocca il percorso wrong-role, che CVE-2026-53359 corregge. L'errata RLSA-2026:36957 di Rocky Linux raggruppa entrambe le correzioni in un unico aggiornamento, ma solo la verifica dei commit hash 81ccda30b4e8 e 0cb2af2ea66a nel changelog del pacchetto kernel conferma la presenza effettiva di entrambe.

Nested virtualization e permessi /dev/kvm: la superficie d'attacco si allarga

L'exploitation richiede privilegi root all'interno della macchina virtuale ospite e la virtualizzazione annidata abilitata sull'host. La nested virtualization forza KVM a utilizzare il codice di paging shadow indipendentemente dalle impostazioni predefinite di paging assistito dall'hardware. Questa configurazione è comune nei provider cloud che offrono istanze bare-metal virtualizzate o ambienti di sviluppo con hypervisor nidificati.

Un elemento più ampio riguarda i permessi del dispositivo /dev/kvm. Su Rocky Linux 9, RHEL EL8/EL9/EL10 e le relative derivate, il dispositivo viene distribuito con permessi 0666 — accessibile a qualsiasi utente locale. Questa impostazione consente a un utente senza privilegi di aprire il dispositivo KVM e innescare il difetto anche senza eseguire macchine virtuali. La superficie d'attacco si estende quindi a qualsiasi server Linux condiviso, anche quelli che non ospitano carichi di lavoro di virtualizzazione.

Cosa fare adesso

Verificare che il pacchetto kernel Rocky Linux 9 contenga entrambi i commit 81ccda30b4e8 (CVE-2026-53359) e 0cb2af2ea66a (CVE-2026-46113) nel changelog, non solo uno dei due.
Confermare che il sistema di gestione patch non chiuda il ticket al primo CVE risolto, ma verifichi entrambi gli identificatori associati all'errata RLSA-2026:36957.
Applicare l'errata RLSA-2026:36957 completa e riavviare i sistemi interessati, dato che le fonti esplicitamente indicano la necessità di un reboot.
Valutare la restrizione dei permessi di /dev/kvm da 0666 a modalità più restrittive dove compatibile con le operazioni, riducendo la superficie d'attacco per utenti locali non autorizzati.

Il contesto del premio kvmCTF e la linea temporale

Il difetto ha attraversato 16 anni di sviluppo del kernel Linux, dal commit 2032a93d66fa dell'agosto 2010 fino alla correzione nel giugno 2026. Nel frattempo, il programma kvmCTF di Google ha offerto fino a 250.000 dollari per fughe complete da ospite a host nel sottosistema KVM, stabilendo un mercato e un'incentivazione per la ricerca su questa superficie d'attacco. La disclosure pubblica di Kim è avvenuta il 6 luglio 2026; Rocky Linux ha rilasciato l'errata il 13 luglio 2026, con un ritardo di 7 giorni dalla divulgazione.

Red Hat ha valutato CVE-2026-53359 con un punteggio CVSS 7.0 (Important), mentre SUSE ha assegnato 8.8 nella versione 3.1 e 9.3 nella versione 4.0 dello stesso identificatore, secondo SecurityPointBreak e TheHackerNews rispettivamente. NVD ha pubblicato il vettore CVSS per CVE-2026-46113 come AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H, corrispondente a un punteggio di 8.8 (HIGH). Al momento della stesura, NVD non ha ancora assegnato un punteggio CVSS a CVE-2026-53359.

Il caso Januscape rappresenta un raro esempio di vulnerabilità che diventa più pericolosa dopo una patch parziale. L'amministratore che applica CVE-2026-46113 e interrompe il monitoraggio crea una condizione di falsa sicurezza peggiore dell'ignoranza originaria, perché il sistema di allarme viene disattivato mentre la porta rimane aperta. La lezione operativa va oltre KVM: ogni flusso di gestione delle patch basato su CVE ID singolo deve essere rivalutato per le vulnerabilità accoppiate.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti