Negli ultimi giorni è stata resa nota una vulnerabilità di lunga data nel kernel Linux, denominata GhostLock, che permette a un utente con accesso locale di ottenere privilegi di root in pochi secondi e di evadere dai container per compromettere l’host. Questo rappresenta una minaccia seria anche per siti, e‑commerce e servizi ospitati su infrastrutture Linux.
Cosa è successo
Ricercatori di Nebula Security, grazie a una piattaforma di ricerca assistita da intelligenza artificiale chiamata VEGA, hanno individuato la falla nel sottosistema delle rtmutex nella gestione dei futex, introdotta nel kernel Linux nel 2011 (versione 2.6.39) e mai corretta fino ad aprile 2026. La vulnerabilità (CVE‑2026‑43499, detta GhostLock) è un classico use‑after‑free che consente a un utente già autenticato di elevare i propri privilegi a root in circa 5 secondi, con affidabilità media del 97%. Inoltre, è possibile sfruttarla per uscire da un container e attaccare direttamente il sistema host.
Perché è importante
La falla è particolarmente critica in ambiente aziendale perché infetta tutte le distribuzioni Linux non aggiornate, incluse diverse versioni LTS ancora in uso nei server. In presenza di workload containerizzati—come siti web, negozi online o ambienti di sviluppo—un semplice accesso locale o la compromissione di un container possono degenerare rapidamente in un attacco completo all’host, vanificando l’isolamento previsto dai container.
Inoltre, anche componenti come browser vulnerabili (per esempio Firefox) possono diventare un punto di ingresso che, combinato con GhostLock (scenario chiamato IonStack), porta all’accesso root solo con un clic su un link malevolo.
Cosa fare adesso
- Verifica immediatamente se i tuoi sistemi Linux eseguono una versione del kernel vulnerabile (a partire da 2.6.39 fino al fix in Linux 7.1).
- Aggiorna tempestivamente i kernel su server, container host, ambienti CI/CD e workstation di produzione.
- Controlla specificamente le distribuzioni LTS (Ubuntu 20.04, 22.04, 24.04 ecc.) e accertati che abbiano ricevuto la patch.
- Nel breve termine, attiva opzioni di compilazione del kernel come
RANDOMIZE_KSTACK_OFFSETeSTATIC_USERMODE_HELPERper mitigare l’exploit, senza considerarle una soluzione definitiva. - Riduci il rischio: limita l’accesso locale, disattiva utenti inutili, rafforza l’accesso SSH e applica il principio del privilegio minimo.
Come ti aiuta Evo Sistemi
Evo Sistemi può supportarti in modo concreto in questa situazione critica:
- Attraverso il servizio di sicurezza informatica, effettuiamo controlli sui tuoi server, verifichiamo la vulnerabilità GhostLock e applichiamo le patch necessarie.
- Se utilizzi container o hai un sito/e‑commerce, il nostro servizio di realizzazione siti web include infrastrutture aggiornate e sicure, con attenzione all’isolamento e alla sicurezza dei container.
- Ti supportiamo nella compliance e GDPR, per garantire che i sistemi siano non solo sicuri, ma anche conformi alle normative vigenti.
Contattaci per una consulenza mirata: richiedi un check di sicurezza.
Domande frequenti
GhostLock riguarda anche i miei server Linux aziendali?
Sì, se utilizzi una versione del kernel tra 2.6.39 e prima della 7.1 e non hai installato la patch, i tuoi sistemi sono vulnerabili.
L’exploit può avvenire solo fisicamente o anche da remoto?
GhostLock richiede accesso locale, ma può essere concatenato a un altro bug (per esempio in un browser) per trasformare un semplice click in un attacco remoto.
È sufficiente attivare opzioni di mitigazione sul kernel?
No, le opzioni come RANDOMIZE_KSTACK_OFFSET o STATIC_USERMODE_HELPER rallentano l’exploit ma non lo eliminano; l’unica difesa affidabile è applicare la patch.
Fonte: ITPro.