Один неверный символ в ядре Linux открывал путь к root-доступу

Исследователи из компании Exodus Intelligence опубликовали подробный разбор уязвимости CVE-2026-53111 в ядре Linux — её источником оказался единственный неверно поставленный восклицательный знак в исходном коде. Ошибка позволяла непривилегированному пользователю повысить привилегии до уровня root на системах под управлением Debian и Ubuntu, причём надёжность эксплойта в тестах на незагруженной системе превысила 99%.

Как один символ ломает защиту ядра

Уязвимость связана с механизмом управления так называемыми verdict map — структурами данных в подсистеме netfilter ядра Linux. При удалении такой карты из памяти система деактивирует catchall-элементы и уменьшает счётчик ссылок на цепочку правил. Если в процессе удаления возникает ошибка, операция откатывается и счётчик снова увеличивается.

Из-за неверного символа логика этой проверки инвертировалась. Атакующий получал возможность произвольное число раз уменьшать счётчик ссылок, а затем освобождать память цепочки в тот момент, когда на неё ещё указывали другие объекты. Это классический сценарий use-after-free — обращение к уже освобождённой памяти, один из наиболее опасных классов уязвимостей на уровне ядра.

««В этой публикации мы показали, как один неверный восклицательный знак породил use-after-free уязвимость, которую непривилегированный пользователь может эксплуатировать на Debian и Ubuntu для повышения привилегий до root», — написали исследователи Exodus Intelligence.»

Эксплойт задействует уязвимость несколько раз последовательно: сначала для утечки базового адреса ядра, затем для получения адресов в куче и наконец для перехвата потока управления. Несмотря на многоэтапность атаки, стабильность работы эксплойта оказалась исключительно высокой.

Патч вышел в феврале, PoC появился в апреле

Уязвимость была устранена в ядре Linux ещё в феврале 2026 года и оперативно портирована в основные дистрибутивы. Тем не менее временной разрыв между патчем и публичным раскрытием оказался достаточно коротким: уже в апреле компания FuzzingLabs опубликовала proof-of-concept эксплойт. Exodus Intelligence, которая и обнаружила баг, включила собственный PoC в июньскую публикацию.

CVE-2026-53111 — не единственная серьёзная уязвимость повышения привилегий, затронувшая Linux в последние недели. По данным исследователей, это как минимум третья подобная проблема за короткий период. Особую опасность такие уязвимости представляют в сочетании с другими эксплойтами: связка позволяет обходить встроенные механизмы защиты операционной системы — такие как ASLR, SMEP и другие средства изоляции.

Для системных администраторов и DevOps-команд, работающих с Linux-серверами, ситуация означает одно: обновление ядра — не опциональная задача, а обязательная. Дистрибутивы Debian и Ubuntu уже получили исправления, однако на практике многие production-системы обновляются с задержкой из-за требований к uptime или процедур согласования изменений.

Что это значит для белорусского IT-рынка

Белорусские компании — резиденты ПВТ и независимые разработчики — активно используют Linux как основу серверной инфраструктуры, CI/CD-пайплайнов и облачных окружений. Уязвимости класса local privilege escalation особенно критичны в многопользовательских средах: достаточно скомпрометировать один аккаунт с минимальными правами, чтобы получить полный контроль над хостом.

В контексте аутсорсинговых проектов это означает и репутационные риски: клиенты из ЕС и США всё чаще требуют подтверждения актуальности патчей в рамках аудитов безопасности и соглашений об уровне сервиса. Команды, которые ведут инфраструктуру на Debian или Ubuntu, должны убедиться, что версия ядра включает февральское исправление.

Проверить наличие патча можно командой `uname -r` и сверкой с changelog соответствующего дистрибутива. Для Debian актуальные версии ядра публикуются в Security Tracker, для Ubuntu — в базе Ubuntu Security Notices.

Более широкий вывод из этой истории — о качестве code review в проектах с открытым исходным кодом. Один инвертированный символ, прошедший через все уровни проверки, напоминает: автоматизированные инструменты статического анализа и фаззинга должны быть частью стандартного пайплайна, а не опциональным дополнением. Именно фаззинг позволил FuzzingLabs независимо подтвердить уязвимость и создать PoC в течение нескольких месяцев после появления патча.

— По материалам Ars Technica: оригинальная статья. Перевод и адаптация — редакция Digital Business.