存在15年之久的GhostLock漏洞可使大多数Linux发行版获得Root权限并逃逸容器

导语：Nebula Security披露了一个存在15年之久的Linux内核漏洞GhostLock（CVE-2026-43499），自2011年起默认存在于几乎所有主流Linux发行版中，允许任何本地已登录用户获取Root权限并逃逸容器。该漏洞已于今年4月修复，但各发行版修复进度不一，需优先修补共享和多租户机器。

Nebula Security的研究人员披露了GhostLock（CVE-2026-43499），这是一个存在15年之久的Linux内核漏洞，允许任何已登录用户在未打补丁的机器上获得完全的Root控制权。自2011年以来，几乎所有主流发行版默认都包含存在漏洞的代码。该漏洞无需特殊权限、无需特殊设置，也无需网络访问；任何本地程序的常规线程调用就足以触发。

Nebula将该漏洞转化为一个可工作的Root利用程序，在其测试中可靠性达到97%，并且还能逃逸容器。该团队表示，Google通过其kernelCTF漏洞奖励计划向他们授予了92,337美元。目前尚无已知的野外利用，但Nebula已经发布了可工作的漏洞利用代码，因此任何人都可以运行它。修补漏洞是当务之急。

Linux内核拥有一套机制，用于防止紧急任务被琐碎任务阻塞。该机制的一部分是清理步骤，在任务停止等待后对其进行清理。通常情况下，这套机制工作正常。但在一种罕见情况下，当锁操作遇到死胡同必须回退时，清理会在错误的时刻运行，抹除了错误任务的记录。这一错误使内核持有指向一块已被释放并重新使用的内存的"笔记"。信任这个过时的指针就是整个漏洞所在——这是一种被称为释放后使用（use-after-free）的失误。从这里开始，Nebula的团队通过一些巧妙步骤将这个小错误转化为完全控制，最终欺骗内核以至高无上的"root"用户身份运行他们的代码。在他们的测试机器上，整个过程大约耗时五秒。

该漏洞自2011年起就存在于Linux中，并于今年4月得到修复（提交号3bfdc63936dd），各发行版目前正在推出该补丁。它影响几乎所有Linux版本，CVSS评分为7.8（满分10分，属于高危但非严重），因为攻击者需要事先登录到机器。Nebula使用其AI驱动的漏洞狩猎工具VEGA发现了该漏洞。

请安装您所用发行版的当前内核版本，而不仅仅是第一个修复版本。最初的修复引入了一个独立的崩溃漏洞（CVE-2026-53166），其清理工作在7月初仍在上游完善中，因此早期构建版本可能缺少最终修复。目前尚无完整的临时缓解方案，因为触发该漏洞的操作对任何本地进程来说都是常规操作。各发行版的可用性参差不齐。例如，Ubuntu已经修补了其最新版本和一些云内核版本，但截至7月初，24.04、22.04和20.04 LTS仍被列为存在漏洞或正在处理中。请查看您所用发行版的安全公告并确认已修复的软件包版本，而不是假设有可用补丁。两个构建选项RANDOMIZE_KSTACK_OFFSET和STATIC_USERMODE_HELPER可使该漏洞利用变得更加困难，但它们只是缓解措施，并非根本修复。请优先修补共享和多租户机器、云服务器、容器和CI运行器，因为攻击者最有可能在这些地方获得该漏洞所需的本地立足点。

GhostLock加入了2026年一系列Linux权限提升漏洞的行列，其中几个漏洞都有一个共同特点：由自动化工具发现。VEGA发现了GhostLock；几天前，研究人员披露了Bad Epoll（CVE-2026-46242），这是GhostLock的近亲，也可将非特权用户提升为root。该漏洞已通过kernelCTF得到证实，并且对于此类漏洞来说不同寻常的是，它还可在Android上运行。Bad Epoll位于同一段代码中，Anthropic的Mythos模型此前因发现相关漏洞而受到赞誉。它们的共同点是古老且被广泛使用的内核机制，多年来鲜有人重新审视，直到自动化工具开始梳理它。Futex优先级继承机制可追溯到2011年。这类漏洞并非纸上谈兵：另一个2026年的漏洞Copy Fail（CVE-2026-31431）已经出现在CISA的真实攻击中已知漏洞清单上。

GhostLock也是Nebula称之为IonStack的攻击链的后半部分。前半部分CVE-2026-10702是一个Firefox漏洞，可在浏览器内运行代码并逃逸其沙箱；GhostLock则将攻击链延伸至Root。Nebula已演示了完整的攻击链，从点击恶意链接到完全控制，针对Android上的Firefox完成。这就是为什么"仅限本地"的内核漏洞仍然很重要的原因：就其本身而言，它需要一个立足点，但与浏览器漏洞相结合后，就会变成远程入侵。Nebula表示，关于Android漏洞利用的完整技术报告即将发布。