EUVD-2026-24742 / CVE-2026-41651 Telekom entdeckt 12 Jahre alte Linux-Root-Schwachstelle

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

Das Red Team von Telekom Security entdeckte mit „Pack2TheRoot“ eine lokale Rechteausweitung in PackageKit, die Root-Zugriff erlaubt. So können Nutzer ihre Systeme auf Anfälligkeit prüfen und aktualisieren.

Die Sicherheitsanalysten von Telekom Security haben eine Schwachstelle in Linux entdeckt, die einen hohen Schweregrad hat und die standardmäßige Installationen zahlreicher Linux-Distributionen betrifft. Die von den Forschern genannte „Pack2TheRoot“-Schwachstelle könne von jedem lokalen, nicht privilegierten Benutzer ausgenutzt werden, um auf einem anfälligen System Root-Zugriff zu erlangen. Konkret handelt es sich um EUVD-2026-24742 / CVE­2026-41651 (CVSS-Score 8.8, EPSS-Score^* 0.22), die im PackageKit-Daemon, einer distri­bu­tions­übergreifenden Abstraktionsschicht für die Paketverwaltung, liegt.

3 Updates seit Oktober 2025

BSI stuft Linux-Schwachstelle als kritisch ein

EUVD-2026-24742 / CVE-2026-41651 ermöglicht vollen Root-Zugriff

Wie die Forscher erläutern, seien Cyberangreifer bei erfolgreicher Ausnutzung in der Lage, Systempakete ohne entsprechende Autorisierung zu installieren oder zu entfernen. Dies könne zu vollem Root-Zugriff führen oder das System auf andere Weise kompromittieren. Das Red Team von Telekom Security habe die Sicherheitslücke entdeckt, als ihnen aufgefallen sei, dass sie den Befehl „pkcon install“ auf einer Fedora Workstation ein Systempaket installieren konn­ten, ohne dass ein Passwort erforderlich gewesen sei. Das Team begann bereits Anfang 2025 seine Untersuchungen, für die es unter anderem auch KI-Tools wie Claude Opus von Anthropic nutzte. Nachdem eine tatsächlich ausnutzbare Schwachstelle gefunden wurde, hätte das Team diese an die Maintainer von PackageKit gemeldet, die die Sicherheitslücke und ihre Ausnutzbarkeit bestätigt hätten.

Demnach sind sämtliche PackageKit Versionen von 1.0.2 bis einschließlich 1.3.4 anfällig. Da PackageKit 1.0.2 bereits vor über zwölf Jahren veröffentlicht wurde, warnen die Forscher vor einer breiten Angriffsfläche über diverse Linux-Distributionen hinweg. Die Ausnutzbarkeit sei explizit getestet und auf den folgenden Distributionen – jeweils in Standardinstallationen mit den Paketmanager-Backends „apt“ und „dnf“ – bestätigt worden:

• Ubuntu Desktop 18.04 (EOL), 24.04.4 (LTS), 26.04 (LTS-Beta)

• Ubuntu Server 22.04 – 24.04 (LTS)

• Debian Desktop Trixie 13.4

• RockyLinux Desktop 10.1

• Fedora 43 Desktop

• Fedora 43 Server

Behoben wurde EUVD-2026-24742 / CVE-2026-41651 im PackageKit-Release 1.3.5 sowie durch entsprechende Backports der Distributionen.

Neben Indicators of Compromise sowie einem Proof of Concept veröffentlichte Telekom Se­cu­rity auch einen Handlungsleitfaden, wie Nutzer feststellen können, ob ihr System angreifbar ist. Dafür genüge es nicht, die Prozessliste mittels des Befehls „grep“ zu durchsuchen, da PackageKit und Cockpit nicht zwangsläufig als dauerhafte Prozesse laufen, sondern bei Bedarf über D-Bus aktiviert werden können. Deshalb sollten Nutzer zunächst überprüfen, ob PackageKit auf ihrem System installiert ist und die Version mit den als angreifbar eingestuften Versionen abgleichen.

Um zu überprüfen, ob der PackageKit-Daemon verfügbar ist, sollten User „systemctl status packagekit“ oder „pkmon“ ausführen. Wenn „systemctl“ den Daemon als „loaded“ (geladen) oder „running“ (laufend) anzeigt, oder wenn die Überwachungswerkzeuge von PackageKit eine Transaktionsausgabe liefern, ist der Daemon aktiv. In diesem Fall ist das System potenziell angreifbar, sofern es nicht gepatcht wurde. Für PackageKit-Versionen, die älter als Version 1.3.3 sind, können Nutzer den Befehl „pkmon“ zum Testen verwenden. Für die Version 1.3.3 oder jünger, gilt es, mit dem Befehl „pkgcli monitor“ auf eine entsprechende Ausgabe zu prüfen.

Open Source statt Microsoft

So können Unternehmen Linux-Server günstig und sicher aufsetzen

* Hinweis zum EPSS-Score: Das Exploit Prediction Scoring System zeigt die Wahrscheinlichkeit in Prozent an, mit der eine Schwachstelle innerhalb der nächsten 30 Tage ausgenutzt wird. Der ent­sprechende Score kann sich im Laufe der Zeit verändern. Sofern nicht anders angegeben, beziehen wir uns auf den Stand des EPSS-Scores zum Zeitpunkt der Veröffentlichung des Artikels.

(ID:50827843)