Linux-Kernel: GhostLock, Bad Epoll, Januscape, OVSwrap

Mehrere schwere Schwachstellen im Linux-Kernel wurden im Laufe des Juli 2026 veröffentlicht. Diese Probleme sind besonders wichtig für Hosting-Server, Mehrbenutzerumgebungen, Container-Plattformen und KVM-Virtualisierungshosts.

Diese Warnung behandelt die folgenden Schwachstellen:

• CVE-2026-43499: GhostLock
• CVE-2026-46242: Bad Epoll
• CVE-2026-53359: Januscape
• CVE-2026-64531: OVSwrap

Je nach Betriebssystem, Kernel-Version und aktivierten Modulen können diese Schwachstellen einem unprivilegierten Prozess erlauben, root-Zugriff zu erlangen, aus einem Container auszubrechen, aus einer virtuellen Maschine auszubrechen oder den physischen Host zum Absturz zu bringen.

Obwohl es sich in erster Linie um lokale Schwachstellen handelt, bleiben sie für Hosting-Server mit Internetanbindung hochrelevant. Ein Angreifer, der eine Website, ein Plugin, eine CMS-Installation oder ein Kundenkonto kompromittiert, hat möglicherweise bereits genug lokalen Zugriff, um den darunterliegenden Kernel anzugreifen.

Übersicht der Schwachstellen

Schwachstelle	Hauptauswirkung	Am stärksten betroffene Systeme
GhostLock: CVE-2026-43499	Lokale Privilegieneskalation zu root und Ausbruch aus dem Container	Multi-Tenant-, Mehrbenutzer- und Container-Server
Bad Epoll: CVE-2026-46242	Lokale Privilegieneskalation zu root	Neuere Kernel-Streams von Enterprise Linux und Ubuntu
Januscape: CVE-2026-53359	Ausbruch vom KVM-Gast auf den Host und Absturz des Hosts	KVM-Hypervisoren und Server, die /dev/kvm freigeben
OVSwrap: CVE-2026-64531	Lokale Privilegieneskalation zu root über Open vSwitch	Systeme mit einem betroffenen Open-vSwitch-Kernelmodul

GhostLock: CVE-2026-43499

GhostLock ist eine Use-after-free-Schwachstelle im Code für Echtzeit-Mutexe und die Prioritätsvererbung von Futexen im Linux-Kernel.

Ein unprivilegierter lokaler Prozess kann die Schwachstelle ausnutzen, um root-Rechte zu erlangen. Dieselbe Schwachstelle kann auch aus einem Container heraus genutzt werden, um auszubrechen und den Host zu kompromittieren.

Es sind keine besonderen Linux Capabilities erforderlich, und Einzelheiten zur Ausnutzung sind öffentlich verfügbar.

Es gibt keine praktikable Gegenmaßnahme über die Konfiguration. Ein gepatchter Kernel oder ein verifizierter Livepatch ist erforderlich.

AlmaLinux, Rocky Linux und RHEL-kompatible Systeme

GhostLock betrifft die unterstützten Kernel-Zweige von AlmaLinux 8, 9 und 10.

Die folgenden AlmaLinux-Kernel enthalten die Korrektur:

Betriebssystem	Mindestens gepatchter Kernel
AlmaLinux 8	4.18.0-553.141.2.el8_10
AlmaLinux 9	5.14.0-687.24.1.el9_8
AlmaLinux 10	6.12.0-211.32.1.el10_2

Administratoren von Rocky Linux und RHEL sollten den neuesten Kernel aus den Repositories ihres jeweiligen Herstellers installieren und keine Pakete aus einer anderen Distribution.

CloudLinux

GhostLock betrifft die unterstützten Kernel-Streams von CloudLinux.

Administratoren sollten den neuesten CloudLinux-Kernel installieren oder bestätigen, dass KernelCare einen Livepatch angewendet hat, der Folgendes abdeckt:

CVE-2026-43499

Abdeckung durch KernelCare prüfen:

kcarectl --update
kcarectl --patch-info | grep CVE-2026-43499

Oracle Linux

Oracle-Linux-Systeme können entweder mit dem

• Red Hat Compatible Kernel: RHCK
• Unbreakable Enterprise Kernel: UEK

laufen.

Oracle hat Sicherheitsupdates für die betroffenen RHCK- und UEK-Kernel-Streams veröffentlicht.

Den aktiven Oracle-Linux-Kernel ermitteln:

cat /etc/oracle-release
uname -r
rpm -q kernel kernel-core kernel-uek kernel-uek-core

Ein laufender Kernel, dessen Name uek enthält, ist ein Unbreakable Enterprise Kernel.

Installieren Sie den neuesten Kernel aus dem passenden Oracle-Linux-Repository und starten Sie neu. RHCK- und UEK-Versionen dürfen nicht direkt verglichen werden, weil sie unterschiedliche Paketnamen und eine unterschiedliche Versionsnummerierung verwenden.

Ubuntu

Canonical stuft GhostLock als Schwachstelle hoher Schwere ein.

Stand 5. August 2026 umfasst der Status des Standard-Kernels von Ubuntu:

Ubuntu-Version	Status
Ubuntu 26.04 LTS	Behoben
Ubuntu 24.04 LTS	Behoben
Ubuntu 22.04 LTS	Update in Arbeit
Ubuntu 20.04 LTS	Update in Arbeit

Ubuntu bietet mehrere Kernel-Varianten, darunter generic, Hardware Enablement, cloud-optimized, low-latency, real-time und FIPS.

Der Status kann sich zwischen den Kernel-Varianten unterscheiden. Administratoren müssen das genaue installierte Paket prüfen und sich nicht allein auf die Ubuntu-Versionsnummer verlassen.

uname -r
dpkg -S /boot/vmlinuz-$(uname -r)

Installieren Sie alle verfügbaren Updates und starten Sie neu:

apt update
apt full-upgrade -y
reboot

Wo Ubuntu Livepatch aktiviert ist, bestätigen Sie, dass genau dieses CVE abgedeckt ist:

canonical-livepatch refresh
canonical-livepatch status --verbose

Bad Epoll: CVE-2026-46242

Bad Epoll ist eine Race-Condition- und Use-after-free-Schwachstelle im Ereignisbenachrichtigungs-Subsystem epoll des Linux-Kernels.

Ein unprivilegierter Prozess kann den verwundbaren Zustand auslösen und ihn in beliebigen Zugriff auf Kernel-Speicher und Ausführung mit root-Rechten umwandeln.

Dieses Problem ist für Multi-Tenant-Server besonders relevant, weil epoll eine zentrale Linux-Funktion ist, die von Webservern, PHP-Workern, Datenbanken und vielen anderen Diensten genutzt wird.

Es gibt keine praktikable Gegenmaßnahme zur Laufzeit, weil epoll auf einem funktionierenden Linux-Server nicht deaktiviert werden kann. Ein gepatchter Kernel oder ein verifizierter Livepatch ist erforderlich.

AlmaLinux

Bad Epoll betrifft:

• AlmaLinux 9
• AlmaLinux 10

AlmaLinux 8 ist nicht betroffen.

Die Korrektur ist enthalten in:

Betriebssystem	Mindestens gepatchter Kernel
AlmaLinux 9	5.14.0-687.23.1.el9_8
AlmaLinux 10	6.12.0-211.31.1.el10_2

Die neueren Kernel mit der GhostLock-Korrektur enthalten auch die Korrektur für Bad Epoll.

CloudLinux

Zu den betroffenen CloudLinux-Plattformen gehören:

• CloudLinux 9
• CloudLinux 9 LTS
• CloudLinux 10

Die Kernel-Streams von CloudLinux 7 und CloudLinux 8 sind von dieser Schwachstelle nicht betroffen.

Abdeckung durch KernelCare prüfen:

kcarectl --patch-info | grep CVE-2026-46242

Oracle Linux

Oracle hat Updates für Bad Epoll für die betroffenen RHCK- oder UEK-Kernel-Streams von Oracle Linux 9 und 10 veröffentlicht.

Installieren Sie alle aktuellen Oracle-Linux-Updates und bestätigen Sie, dass der Server in den aktualisierten RHCK- oder UEK-Kernel startet.

Ubuntu

Canonical stuft Bad Epoll als Schwachstelle hoher Schwere ein.

Der Status des Standard-Kernels von Ubuntu umfasst mit Stand 5. August 2026:

Ubuntu-Version	Status
Ubuntu 26.04 LTS	Behoben
Ubuntu 24.04 LTS	Update in Arbeit
Ubuntu 22.04 LTS	Nicht betroffen
Ubuntu 20.04 LTS	Nicht betroffen

Spezialisierte Ubuntu-Kernel-Varianten können einen anderen Status haben.

Das genaue Kernel-Paket ermitteln:

uname -r
dpkg -S /boot/vmlinuz-$(uname -r)

Installieren Sie alle derzeit verfügbaren Ubuntu-Updates:

apt update
apt full-upgrade -y

Starten Sie neu, wo ein Kernel-Update installiert wurde:

reboot

Januscape: CVE-2026-53359

Januscape ist eine Schwachstelle im KVM/x86-Speicherverwaltungscode des Linux-Kernels.

Der schwerwiegendste Angriffspfad erlaubt es einer bösartigen virtuellen Maschine, aus dem Gast auszubrechen und Befehle als root auf dem physischen Virtualisierungshost auszuführen.

Die Schwachstelle kann einem bösartigen Gast außerdem erlauben, den Kernel des Hosts zum Absturz zu bringen, was alle auf dem Server laufenden virtuellen Maschinen betrifft.

Januscape betrifft die x86-Virtualisierung von Intel und AMD. Server, die normalerweise keine virtuellen Maschinen beherbergen, können dennoch exponiert sein, wo ein unprivilegierter Prozess auf /dev/kvm zugreifen kann.

Prüfung auf KVM-Exposition

lsmod | grep '^kvm'
ls -l /dev/kvm 2>/dev/null

AlmaLinux, CloudLinux und RHEL-kompatible Systeme

Januscape betrifft die jeweiligen Kernel-Streams mit aktiviertem KVM auf AlmaLinux, CloudLinux und anderen RHEL-kompatiblen Systemen.

Die oben genannten neueren AlmaLinux-Kernel mit der GhostLock-Korrektur enthalten auch die Korrektur für Januscape.

Administratoren sollten den neuesten Hersteller-Kernel installieren und neu starten.

Oracle Linux

Oracle hat Updates für Januscape für die betroffenen RHCK- und UEK-Kernel-Streams veröffentlicht.

Die Korrektur muss auf dem physischen KVM-Host angewendet werden. Nur die Betriebssysteme der Gäste zu aktualisieren, schützt den Hypervisor nicht.

Oracle Linux Virtualization Manager und andere KVM-Hosts sollten über die passenden Oracle-Linux-Repositories aktualisiert werden.

Ubuntu

Canonical gibt an, dass Januscape Ubuntu auf x86-Systemen von Intel und AMD betrifft, auf denen verschachtelte (nested) KVM-Virtualisierung aktiviert ist.

Prüfen, ob verschachtelte Virtualisierung aktiv ist:

grep . /sys/module/kvm_{amd,intel}/parameters/nested 2>/dev/null

Ein Wert von 1 oder Y bedeutet, dass verschachtelte Virtualisierung aktiviert ist.

Wo verschachtelte Virtualisierung nicht benötigt wird, kann sie vorübergehend deaktiviert werden:

echo 'options kvm_amd nested=0' \
> /etc/modprobe.d/disable-kvm-nesting.conf

echo 'options kvm_intel nested=0' \
>> /etc/modprobe.d/disable-kvm-nesting.conf

Starten Sie den Server neu oder laden Sie das betreffende KVM-Modul auf sichere Weise neu.

Diese Gegenmaßnahme ersetzt nicht das erforderliche Kernel-Update.

Vorübergehende Gegenmaßnahme für Server ohne Virtualisierung

Auf einem Server, der keine KVM-Virtualisierung nutzt, verhindern Sie das Laden der hardwarespezifischen Module:

printf 'install kvm_intel /bin/false\ninstall kvm_amd /bin/false\n' \
> /etc/modprobe.d/disable-kvm.conf

Entladen oder blockieren Sie keine KVM-Module auf einem Server, auf dem gerade virtuelle Maschinen laufen.

OVSwrap: CVE-2026-64531

OVSwrap ist eine Schwachstelle des Linux-Kernels im Code zur Aktionsvalidierung von Open vSwitch.

Ein unprivilegierter lokaler Prozess kann das verwundbare Kernelmodul ausnutzen, um root-Zugriff zu erlangen.

Open vSwitch muss weder konfiguriert sein noch aktiv laufen. Das verwundbare Modul kann automatisch geladen werden, wenn eine speziell präparierte Anfrage gestellt wird.

Ein öffentlicher Exploit ist verfügbar.

Prüfen, ob Open vSwitch verfügbar ist

find /lib/modules/$(uname -r) \
-type f -name 'openvswitch.ko*' 2>/dev/null

Prüfen, ob es derzeit geladen ist:

lsmod | grep '^openvswitch'

Die Schwachstelle liegt im Kernelmodul. Nur zu prüfen, ob das Userspace-Paket von Open vSwitch installiert ist, reicht nicht aus.

AlmaLinux, Rocky Linux, RHEL und CloudLinux

OVSwrap betrifft Teile der Kernel-Familien von Enterprise Linux 9 und 10.

Betroffene Server sollten den neuesten Hersteller-Kernel installieren oder bestätigen, dass ein passender KernelCare-Livepatch angewendet wurde.

kcarectl --patch-info | grep CVE-2026-64531

Oracle Linux

Administratoren von Oracle Linux sollten prüfen, ob das Open-vSwitch-Modul im aktiven RHCK- oder UEK-Kernel verfügbar ist.

Installieren Sie alle aktuellen Kernel-Sicherheitsupdates für Oracle Linux und wenden Sie die vorübergehende Gegenmaßnahme für das Modul an, wo Open vSwitch nicht benötigt wird.

Ubuntu

Ubuntu-Server sollten als potenziell exponiert behandelt werden, wo der laufende Kernel das Open-vSwitch-Modul enthält und das installierte Paket nicht als gepatcht bestätigt wurde.

Das Paket des laufenden Kernels ermitteln:

uname -r
dpkg -S /boot/vmlinuz-$(uname -r)

Auf das Modul prüfen:

find /lib/modules/$(uname -r) \
-type f -name 'openvswitch.ko*' 2>/dev/null

Installieren Sie alle derzeit verfügbaren Ubuntu-Sicherheitsupdates.

Vorübergehende Gegenmaßnahme für OVSwrap

Auf einem Server, der Open vSwitch nicht nutzt, verhindern Sie das Laden des Moduls:

echo 'install openvswitch /bin/false' \
> /etc/modprobe.d/ovswrap.conf

Wenn das Modul bereits geladen ist und nicht genutzt wird:

modprobe -r openvswitch

Unter Ubuntu bauen Sie das initiale RAM-Dateisystem neu:

update-initramfs -u

Auf RHEL-kompatiblen und Oracle-Linux-Systemen:

dracut -f

Wenden Sie diese Gegenmaßnahme nicht in Virtualisierungs-, Netzwerk- oder Container-Umgebungen an, die tatsächlich von Open vSwitch abhängen.

Aktualisierung von AlmaLinux, CloudLinux, Rocky Linux und RHEL-kompatiblen Systemen

Aktualisieren und neu starten. Prüfen Sie den laufenden Kernel mit uname -r (und rpm -q kernel kernel-core kernel-uek auf Oracle Linux, dpkg -S /boot/vmlinuz-$(uname -r) auf Ubuntu). Ein Livepatch zählt nur, wenn er das CVE aufführt.

Aktualisierung von Oracle Linux

Installieren Sie alle verfügbaren Oracle-Linux-Updates:

dnf clean all
dnf update -y

Prüfen Sie die installierten RHCK- und UEK-Kernel:

rpm -q kernel kernel-core kernel-uek kernel-uek-core

Prüfen Sie den Standard-Boot-Kernel:

grubby --default-kernel

Neu starten und verifizieren:

reboot

uname -r

Aktualisierung von Ubuntu

Ubuntu-Version und Paket des laufenden Kernels ermitteln:

cat /etc/os-release
uname -r
dpkg -S /boot/vmlinuz-$(uname -r)

Installieren Sie alle verfügbaren Updates:

apt update
apt full-upgrade -y

Prüfen, ob ein Neustart erforderlich ist:

test -f /var/run/reboot-required \
&& cat /var/run/reboot-required

Neu starten und verifizieren:

reboot

uname -r

Der Sicherheitsstatus des generic-Kernels von Ubuntu lässt sich nicht automatisch auf die Varianten Hardware Enablement, cloud-optimized, low-latency, real-time oder FIPS übertragen.

Verifizierung nach dem Update

Verifizieren Sie nach dem Einspielen der Updates das Betriebssystem und den aktiven Kernel:

cat /etc/os-release
uname -r

Prüfen Sie, ob KVM- oder Open-vSwitch-Module noch geladen sind:

lsmod | grep -E '^(kvm|openvswitch)'

Auf Systemen mit KernelCare:

kcarectl --patch-info \
| grep -E \
'CVE-2026-43499|CVE-2026-46242|CVE-2026-53359|CVE-2026-64531'

Auf Ubuntu-Systemen mit Livepatch:

canonical-livepatch status --verbose

Empfehlungen von EuroVPS

EuroVPS empfiehlt Administratoren von Linux-Hosting- und Virtualisierungsservern:

1. Die Abdeckung durch KernelCare oder Ubuntu Livepatch für jedes CVE einzeln zu verifizieren.
2. KVM oder verschachtelte Virtualisierung zu deaktivieren, wo sie nicht benötigt werden.
3. Das Open-vSwitch-Modul zu blockieren, wo es vorhanden ist, aber nicht benötigt wird.
4. Kompromittierte Websites oder Benutzerkonten zu untersuchen, denn das Patchen des Kernels beseitigt eine bestehende Kompromittierung nicht.

Control Panels wie cPanel und Plesk ersetzen nicht den darunterliegenden Kernel des Betriebssystems. Kernel-Updates müssen weiterhin über den Hersteller des Betriebssystems oder einen zugelassenen Livepatch-Anbieter installiert werden.

Brauchen Sie Unterstützung?

Wenn Ihr Server von EuroVPS verwaltet wird, eröffnen Sie ein Ticket: Wir prüfen die Exposition, spielen die Updates ein, koordinieren den Neustart und untersuchen den Server auf Anzeichen einer Kompromittierung.

Shared FAQ page chrome (breadcrumb, dates, read time, «Weiterlesen», enquiry block, category labels): see INDEX-AND-CHROME.md. Translate once.