Öffentlicher Exploit für Linux-Kernel-Lücke CVE-2026-23111

Use-after-free in Linux-Kernel nf_tables gibt Root-Zugrif Öffentlicher Exploit für Linux-Kernel-Lücke CVE-2026-23111

26.06.2026 Von Thomas Joos 2 min Lesedauer

Anbieter zum Thema

fsas-afc-horizontal-2-positive-rgb-nov24 (Fsas)

Eine Use-after-free im nf_tables-Code des Linux-Kernels hebt einen lokalen Benutzer auf Root-Rechte und bricht aus Containern aus. Der Patch liegt seit Monaten vor, doch funktionierender Exploit-Code kursiert öffentlich. Administratoren sollten ihre Systeme aktualisieren und neu starten.

Eine Use-after-free in Linux nf_tables gibt lokalen Angreifern Root-Rechte und ermöglicht Container-Ausbruch. Es kursiert bereits ein öffentlicher Exploit-Code.(Bild: Gemini / KI-generiert) — Eine Use-after-free in Linux nf_tables gibt lokalen Angreifern Root-Rechte und ermöglicht Container-Ausbruch. Es kursiert bereits ein öffentlicher Exploit-Code.
(Bild: Gemini / KI-generiert)

Sicherheitsforscher haben einen funktionierenden Exploit für eine Use-after-free im Linux-Kernel veröffentlicht, der einem unprivilegierten lokalen Benutzer Root-Rechte verschafft und den Ausbruch aus einem Container erlaubt.. Die Lücke CVE-2026-23111 steckt im Paketfilter-Code nf_tables und ist nach CVSS 3.1 mit 7.8 als hoch bewertet. Der Fehler geht auf ein einzelnes vertauschtes Zeichen zurück, eine invertierte Prüfung in nf_tables. Der Upstream-Fix entfernte sie mit einer einzigen Codezeile am 05.02.2026.

Die Schwachstelle CVE-2022-0492 durchbricht die Container-Grenzen und gibt Angreifern Root-Zugriff auf den darunterliegenden Host. Ungepatchte Linux-Systeme mit cgroups v1 sind unmittelbar gefährdet. (Bild: Gemini / KI-generiert)

Aus geringen Rechten wird Root

Ein Remote-Vektor besteht nicht. Der Exploit greift erst nach einem ersten Zugang. Aus einer Shell mit geringen Rechten, einem kompromittierten Container oder einem Dienstkonto wird Root auf dem Host. Voraussetzung sind nf_tables sowie unprivilegierte User-Namespaces, eine Kernel-Funktion, die einem normalen Konto innerhalb einer privaten Sandbox Root-Rechte gibt und den Zugriff auf sonst gesperrten Kernel-Code freigibt. Beide Komponenten sind auf vielen Desktops und Server-Builds voreingestellt.

Exodus-Forscher Oliver Sieber entdeckte den Fehler Anfang 2025 und verkettete ihn zu einem vollständigen lokalen Root-Exploit. Der Code löst die Use-after-free aus, umgeht die im Kernel eingebauten Speicherschutzmechanismen und übernimmt anschließend die Kontrolle über den Programmfluss, um sich selbst Root-Rechte zu geben und den Namespace des Containers zu verlassen. Sieber demonstrierte den Angriff auf Debian Bookworm, Debian Trixie, Ubuntu 22.04 LTS und Ubuntu 24.04 LTS.

Durch einen Logikfehler im Codepfad des Kernel‑Moduls „algif_aead“ können unprivilegierte Nutzer über eine fehlerhafte Fehlerbehandlung beim Kopieren („copy fail“) einen gezielten 4‑Byte‑Schreibzugriff in den Page‑Cache auslösen und so im Speicher gehaltene Binaries manipulieren. (Bild: © Duminda - stock.adobe.com)

Mehrere Teams reproduzieren den Exploit

Exodus Intelligence veröffentlichte die ausführliche technische Analyse am 08.06.2026. Den ersten öffentlichen Exploit lieferte FuzzingLabs bereits am 16.04.2026 über einen anderen Weg, reproduziert auf RHEL 10 vor der Pwn2Own Berlin 2026. Mit dem Patch vom 05.02.2026 ergibt sich eine enge Abfolge zwischen Fix und öffentlichem Angriffscode.

Der Fehler sitzt im Mainline-Kernel. Distributionen mit einem verwundbaren Kernel und beiden aktivierten Funktionen sind betroffen, sofern Härtungsmaßnahmen oder Namespace-Restriktionen den Weg nicht blockieren. Damit ist die Technik über Debian, Ubuntu und Red Hat hinweg dokumentiert.

CVE-2026-23111 reiht sich in eine dichte Folge von Linux-Veröffentlichungen zur lokalen Rechteausweitung ein. In den vergangenen Wochen kamen Copy Fail, die Dirty-Frag-Kette mit ihrer Fragnesia-Variante, DirtyDecrypt sowie eine neun Jahre alte ptrace-Lücke hinzu, die /etc/shadow ausliest und Befehle als Root ausführt. Die Fälle unterscheiden sich im Detail, teilen jedoch das Grundmuster. Ein unprivilegierter Zugang verwandelt sich auf gewöhnlichen Installationen immer wieder in Root.

Dirty Frag ist eine Zero-Day-Schwachstelle im Linux Kernel, die zwei Page-Cache-Write-Schwachstellen ausnutzt, sodass lokale Angreifer auf vielen Distributionen mit einem einzigen Befehl Root-Rechte erlangen können. (Bild: Gemini / Vogel IT-Medien GmbH / KI-generiert)

Kernel aktualisieren und Namespaces einschränken

Der Angriff bleibt lokal und benötigt unprivilegierte User-Namespaces. Administratoren sollten den Kernel aktualisieren, neu starten und Systeme priorisieren, auf denen nicht vertrauenswürdige Benutzer oder Workloads solche Namespaces anlegen. Ubuntu stellt Korrekturen für 22.04, 24.04 und 25.10 bereit. Debian hat Bookworm und Trixie behoben und liefert einen 6.1-Backport für Bullseye LTS. Red Hat, SUSE und Amazon Linux führen die Lücke ebenfalls. Die genaue Fixed-Version unterscheidet sich je Distribution, ein Blick in das jeweilige Advisory zeigt das passende Kernel-Paket.

Synacktiv verknüpft das Tempo der aktuellen Welle mit KI-gestützter Forschung und Patch-Diffing, das funktionierende Exploits vor der breiten Verteilung der Fixes verfügbar macht. Solange der Patch fehlt, hält eine Einschränkung der für unprivilegierte Benutzer erreichbaren Funktionen den Angriff auf. Im Fall von CVE-2026-23111 sind das die User-Namespaces. Bisher liegen keine Berichte über Angriffe in freier Wildbahn vor, und kein Akteur ist dem Fehler zugeordnet.

Die Sicherheitslücke EUVD-2025-24155 / CVE-2025-38499 im Linux-Kernel, die bereits seit August 2025 im Umlauf ist, wird vom BSI als kritisch eingestuft. Möglicherweise, weil nach wie vor Linux-Distributionen davon betroffen sind. (Bild: Dall-E / Vogel IT-Medien GmbH / KI-generiert)

(ID:50868928)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Geschäftliche E-Mail

Bitte geben Sie eine gültige E-Mailadresse ein.

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Stand: 08.12.2025

Es ist für uns eine Selbstverständlichkeit, dass wir verantwortungsvoll mit Ihren personenbezogenen Daten umgehen. Sofern wir personenbezogene Daten von Ihnen erheben, verarbeiten wir diese unter Beachtung der geltenden Datenschutzvorschriften. Detaillierte Informationen finden Sie in unserer Datenschutzerklärung.

Einwilligung in die Verwendung von Daten zu Werbezwecken

Ich bin damit einverstanden, dass die Vogel IT-Medien GmbH, Max-Josef-Metzger-Straße 21, 86157 Augsburg, einschließlich aller mit ihr im Sinne der §§ 15 ff. AktG verbundenen Unternehmen (im weiteren: Vogel Communications Group) meine E-Mail-Adresse für die Zusendung von Newslettern und Werbung nutzt. Auflistungen der jeweils zugehörigen Unternehmen können hier abgerufen werden.

Der Newsletterinhalt erstreckt sich dabei auf Produkte und Dienstleistungen aller zuvor genannten Unternehmen, darunter beispielsweise Fachzeitschriften und Fachbücher, Veranstaltungen und Messen sowie veranstaltungsbezogene Produkte und Dienstleistungen, Print- und Digital-Mediaangebote und Services wie weitere (redaktionelle) Newsletter, Gewinnspiele, Lead-Kampagnen, Marktforschung im Online- und Offline-Bereich, fachspezifische Webportale und E-Learning-Angebote. Wenn auch meine persönliche Telefonnummer erhoben wurde, darf diese für die Unterbreitung von Angeboten der vorgenannten Produkte und Dienstleistungen der vorgenannten Unternehmen und Marktforschung genutzt werden.

Meine Einwilligung umfasst zudem die Verarbeitung meiner E-Mail-Adresse und Telefonnummer für den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern wie z.B. LinkedIN, Google und Meta. Hierfür darf die Vogel Communications Group die genannten Daten gehasht an Werbepartner übermitteln, die diese Daten dann nutzen, um feststellen zu können, ob ich ebenfalls Mitglied auf den besagten Werbepartnerportalen bin. Die Vogel Communications Group nutzt diese Funktion zu Zwecken des Retargeting (Upselling, Crossselling und Kundenbindung), der Generierung von sog. Lookalike Audiences zur Neukundengewinnung und als Ausschlussgrundlage für laufende Werbekampagnen. Weitere Informationen kann ich dem Abschnitt „Datenabgleich zu Marketingzwecken“ in der Datenschutzerklärung entnehmen.

Falls ich im Internet auf Portalen der Vogel Communications Group einschließlich deren mit ihr im Sinne der §§ 15 ff. AktG verbundenen Unternehmen geschützte Inhalte abrufe, muss ich mich mit weiteren Daten für den Zugang zu diesen Inhalten registrieren. Im Gegenzug für diesen gebührenlosen Zugang zu redaktionellen Inhalten dürfen meine Daten im Sinne dieser Einwilligung für die hier genannten Zwecke verwendet werden. Dies gilt nicht für den Datenabgleich zu Marketingzwecken.

Recht auf Widerruf

Mir ist bewusst, dass ich diese Einwilligung jederzeit für die Zukunft widerrufen kann. Durch meinen Widerruf wird die Rechtmäßigkeit der aufgrund meiner Einwilligung bis zum Widerruf erfolgten Verarbeitung nicht berührt. Um meinen Widerruf zu erklären, kann ich als eine Möglichkeit das unter https://contact.vogel.de abrufbare Kontaktformular nutzen. Sofern ich einzelne von mir abonnierte Newsletter nicht mehr erhalten möchte, kann ich darüber hinaus auch den am Ende eines Newsletters eingebundenen Abmeldelink anklicken. Weitere Informationen zu meinem Widerrufsrecht und dessen Ausübung sowie zu den Folgen meines Widerrufs finde ich in der Datenschutzerklärung.