Linux kernel: GhostLock, Bad Epoll, Januscape, OVSwrap

Αρκετές σοβαρές ευπάθειες του Linux kernel δημοσιοποιήθηκαν κατά τη διάρκεια του Ιουλίου 2026. Τα ζητήματα αυτά είναι ιδιαίτερα σημαντικά για servers hosting, πολυχρηστικά περιβάλλοντα, πλατφόρμες containers και hosts εικονικοποίησης KVM.

Οι ευπάθειες που καλύπτει αυτή η ανακοίνωση είναι:

• CVE-2026-43499: GhostLock
• CVE-2026-46242: Bad Epoll
• CVE-2026-53359: Januscape
• CVE-2026-64531: OVSwrap

Ανάλογα με το λειτουργικό σύστημα, την έκδοση kernel και τα ενεργοποιημένα modules, οι ευπάθειες αυτές μπορεί να επιτρέψουν σε μια διεργασία χωρίς προνόμια να αποκτήσει πρόσβαση root, να δραπετεύσει από ένα container, να δραπετεύσει από μια εικονική μηχανή ή να προκαλέσει κατάρρευση (crash) του φυσικού host.

Αν και πρόκειται κυρίως για τοπικές ευπάθειες, παραμένουν ιδιαίτερα σχετικές για servers hosting εκτεθειμένους στο διαδίκτυο. Ένας επιτιθέμενος που παραβιάζει ένα website, ένα plugin, μια εγκατάσταση CMS ή έναν λογαριασμό πελάτη μπορεί να έχει ήδη επαρκή τοπική πρόσβαση για να επιτεθεί στον υποκείμενο kernel.

Επισκόπηση ευπαθειών

Ευπάθεια	Κύρια επίπτωση	Πιο σχετικά συστήματα
GhostLock: CVE-2026-43499	Τοπική κλιμάκωση σε root και διαφυγή από container	Servers multi-tenant, πολυχρηστικοί και με containers
Bad Epoll: CVE-2026-46242	Τοπική κλιμάκωση σε root	Νεότερα streams kernel Enterprise Linux και Ubuntu
Januscape: CVE-2026-53359	Διαφυγή από KVM guest σε host και κατάρρευση host	Hypervisors KVM και servers που εκθέτουν το /dev/kvm
OVSwrap: CVE-2026-64531	Τοπική κλιμάκωση σε root μέσω Open vSwitch	Συστήματα που περιέχουν επηρεαζόμενο kernel module Open vSwitch

GhostLock: CVE-2026-43499

Το GhostLock είναι ευπάθεια use-after-free στον κώδικα real-time mutex και futex priority-inheritance του Linux kernel.

Μια τοπική διεργασία χωρίς προνόμια μπορεί να εκμεταλλευτεί την ευπάθεια για να αποκτήσει προνόμια root. Η ίδια ευπάθεια μπορεί να χρησιμοποιηθεί και από το εσωτερικό ενός container για διαφυγή και παραβίαση του host.

Δεν απαιτούνται ειδικές Linux capabilities, και υπάρχουν δημόσια διαθέσιμες λεπτομέρειες εκμετάλλευσης.

Δεν υπάρχει πρακτικός μετριασμός μέσω διαμόρφωσης. Απαιτείται διορθωμένος kernel ή επαληθευμένο livepatch.

AlmaLinux, Rocky Linux και συστήματα συμβατά με RHEL

Το GhostLock επηρεάζει τους υποστηριζόμενους κλάδους kernel AlmaLinux 8, 9 και 10.

Οι ακόλουθοι kernels AlmaLinux περιλαμβάνουν τη διόρθωση:

Λειτουργικό σύστημα	Ελάχιστος διορθωμένος kernel
AlmaLinux 8	4.18.0-553.141.2.el8_10
AlmaLinux 9	5.14.0-687.24.1.el9_8
AlmaLinux 10	6.12.0-211.32.1.el10_2

Οι διαχειριστές Rocky Linux και RHEL πρέπει να εγκαταστήσουν τον τελευταίο διαθέσιμο kernel από τα αποθετήρια του αντίστοιχου κατασκευαστή τους, και όχι πακέτα από άλλη διανομή.

CloudLinux

Το GhostLock επηρεάζει τα υποστηριζόμενα streams kernel CloudLinux.

Οι διαχειριστές πρέπει να εγκαταστήσουν τον τελευταίο kernel CloudLinux ή να επιβεβαιώσουν ότι το KernelCare έχει εφαρμόσει livepatch που καλύπτει:

CVE-2026-43499

Έλεγχος κάλυψης KernelCare:

kcarectl --update
kcarectl --patch-info | grep CVE-2026-43499

Oracle Linux

Τα συστήματα Oracle Linux μπορεί να τρέχουν είτε:

• Red Hat Compatible Kernel: RHCK
• Unbreakable Enterprise Kernel: UEK

Η Oracle έχει δημοσιεύσει ενημερώσεις ασφαλείας για τα επηρεαζόμενα streams kernel RHCK και UEK.

Εντοπίστε τον ενεργό kernel Oracle Linux:

cat /etc/oracle-release
uname -r
rpm -q kernel kernel-core kernel-uek kernel-uek-core

Ένας τρέχων kernel που περιέχει uek είναι Unbreakable Enterprise Kernel.

Εγκαταστήστε τον τελευταίο kernel από το κατάλληλο αποθετήριο Oracle Linux και κάντε επανεκκίνηση. Οι εκδόσεις RHCK και UEK δεν πρέπει να συγκρίνονται απευθείας, επειδή χρησιμοποιούν διαφορετικά ονόματα πακέτων και διαφορετική αρίθμηση εκδόσεων.

Ubuntu

Η Canonical κατατάσσει το GhostLock ως ευπάθεια υψηλής σοβαρότητας.

Στις 5 Αυγούστου 2026, η κατάσταση του τυπικού kernel Ubuntu περιλαμβάνει:

Έκδοση Ubuntu	Κατάσταση
Ubuntu 26.04 LTS	Διορθώθηκε
Ubuntu 24.04 LTS	Διορθώθηκε
Ubuntu 22.04 LTS	Ενημέρωση σε εξέλιξη
Ubuntu 20.04 LTS	Ενημέρωση σε εξέλιξη

Το Ubuntu παρέχει αρκετές παραλλαγές kernel, συμπεριλαμβανομένων των generic, Hardware Enablement, cloud-optimized, low-latency, real-time και FIPS.

Η κατάσταση μπορεί να διαφέρει μεταξύ παραλλαγών kernel. Οι διαχειριστές πρέπει να ελέγχουν το ακριβές εγκατεστημένο πακέτο και όχι μόνο τον αριθμό έκδοσης του Ubuntu.

uname -r
dpkg -S /boot/vmlinuz-$(uname -r)

Εγκαταστήστε όλες τις διαθέσιμες ενημερώσεις και κάντε επανεκκίνηση:

apt update
apt full-upgrade -y
reboot

Όπου είναι ενεργοποιημένο το Ubuntu Livepatch, επιβεβαιώστε ότι καλύπτεται το συγκεκριμένο CVE:

canonical-livepatch refresh
canonical-livepatch status --verbose

Bad Epoll: CVE-2026-46242

Το Bad Epoll είναι ευπάθεια race condition και use-after-free στο υποσύστημα ειδοποίησης συμβάντων epoll του Linux kernel.

Μια διεργασία χωρίς προνόμια μπορεί να προκαλέσει την ευάλωτη κατάσταση και να τη μετατρέψει σε αυθαίρετη πρόσβαση στη μνήμη του kernel και εκτέλεση σε επίπεδο root.

Το ζήτημα αυτό είναι ιδιαίτερα σχετικό για servers multi-tenant, επειδή το epoll είναι βασικός μηχανισμός του Linux που χρησιμοποιείται από web servers, workers PHP, βάσεις δεδομένων και πολλές άλλες υπηρεσίες.

Δεν υπάρχει πρακτικός μετριασμός κατά τη λειτουργία, επειδή το epoll δεν μπορεί να απενεργοποιηθεί σε έναν λειτουργικό Linux server. Απαιτείται διορθωμένος kernel ή επαληθευμένο livepatch.

AlmaLinux

Το Bad Epoll επηρεάζει:

• AlmaLinux 9
• AlmaLinux 10

Το AlmaLinux 8 δεν επηρεάζεται.

Η διόρθωση περιλαμβάνεται στους:

Λειτουργικό σύστημα	Ελάχιστος διορθωμένος kernel
AlmaLinux 9	5.14.0-687.23.1.el9_8
AlmaLinux 10	6.12.0-211.31.1.el10_2

Οι νεότεροι kernels με τη διόρθωση του GhostLock περιλαμβάνουν επίσης τη διόρθωση του Bad Epoll.

CloudLinux

Οι επηρεαζόμενες πλατφόρμες CloudLinux περιλαμβάνουν:

• CloudLinux 9
• CloudLinux 9 LTS
• CloudLinux 10

Τα streams kernel CloudLinux 7 και CloudLinux 8 δεν επηρεάζονται από τη συγκεκριμένη ευπάθεια.

Επαληθεύστε την κάλυψη KernelCare:

kcarectl --patch-info | grep CVE-2026-46242

Oracle Linux

Η Oracle έχει δημοσιεύσει ενημερώσεις για το Bad Epoll για τα επηρεαζόμενα streams kernel RHCK ή UEK των Oracle Linux 9 και 10.

Εγκαταστήστε όλες τις τρέχουσες ενημερώσεις Oracle Linux και επιβεβαιώστε ότι ο server εκκινεί στον ενημερωμένο kernel RHCK ή UEK.

Ubuntu

Η Canonical κατατάσσει το Bad Epoll ως υψηλής σοβαρότητας.

Η κατάσταση του τυπικού kernel Ubuntu στις 5 Αυγούστου 2026 περιλαμβάνει:

Έκδοση Ubuntu	Κατάσταση
Ubuntu 26.04 LTS	Διορθώθηκε
Ubuntu 24.04 LTS	Ενημέρωση σε εξέλιξη
Ubuntu 22.04 LTS	Δεν επηρεάζεται
Ubuntu 20.04 LTS	Δεν επηρεάζεται

Οι εξειδικευμένες παραλλαγές kernel Ubuntu μπορεί να έχουν διαφορετική κατάσταση.

Εντοπίστε το ακριβές πακέτο kernel:

uname -r
dpkg -S /boot/vmlinuz-$(uname -r)

Εγκαταστήστε όλες τις διαθέσιμες ενημερώσεις Ubuntu:

apt update
apt full-upgrade -y

Κάντε επανεκκίνηση όπου έχει εγκατασταθεί ενημέρωση kernel:

reboot

Januscape: CVE-2026-53359

Το Januscape είναι ευπάθεια στον κώδικα διαχείρισης μνήμης KVM/x86 του Linux kernel.

Η πιο σοβαρή διαδρομή επίθεσης επιτρέπει σε μια κακόβουλη εικονική μηχανή να δραπετεύσει από τον guest και να εκτελέσει εντολές ως root στον φυσικό host εικονικοποίησης.

Η ευπάθεια μπορεί επίσης να επιτρέψει σε έναν κακόβουλο guest να προκαλέσει κατάρρευση του kernel του host, επηρεάζοντας όλες τις εικονικές μηχανές που τρέχουν στον server.

Το Januscape επηρεάζει την εικονικοποίηση x86 Intel και AMD. Servers που κανονικά δεν φιλοξενούν εικονικές μηχανές μπορεί να είναι και πάλι εκτεθειμένοι όπου μια διεργασία χωρίς προνόμια μπορεί να προσπελάσει το /dev/kvm.

Έλεγχος έκθεσης KVM

lsmod | grep '^kvm'
ls -l /dev/kvm 2>/dev/null

AlmaLinux, CloudLinux και συστήματα συμβατά με RHEL

Το Januscape επηρεάζει τα αντίστοιχα streams kernel με ενεργό KVM σε AlmaLinux, CloudLinux και άλλα συστήματα συμβατά με RHEL.

Οι νεότεροι kernels AlmaLinux με τη διόρθωση του GhostLock που αναφέρθηκαν παραπάνω περιλαμβάνουν επίσης τη διόρθωση του Januscape.

Οι διαχειριστές πρέπει να εγκαταστήσουν τον τελευταίο kernel του κατασκευαστή και να κάνουν επανεκκίνηση.

Oracle Linux

Η Oracle έχει δημοσιεύσει ενημερώσεις για το Januscape για τα επηρεαζόμενα streams kernel RHCK και UEK.

Η διόρθωση πρέπει να εφαρμοστεί στον φυσικό KVM host. Η ενημέρωση μόνο των λειτουργικών συστημάτων των guests δεν προστατεύει τον hypervisor.

Το Oracle Linux Virtualization Manager και οι άλλοι KVM hosts πρέπει να ενημερωθούν μέσω των κατάλληλων αποθετηρίων Oracle Linux.

Ubuntu

Η Canonical αναφέρει ότι το Januscape επηρεάζει το Ubuntu σε συστήματα x86 Intel και AMD όπου είναι ενεργοποιημένη η ένθετη (nested) εικονικοποίηση KVM.

Ελέγξτε αν η ένθετη εικονικοποίηση είναι ενεργή:

grep . /sys/module/kvm_{amd,intel}/parameters/nested 2>/dev/null

Τιμή 1 ή Y σημαίνει ότι η ένθετη εικονικοποίηση είναι ενεργοποιημένη.

Όπου η ένθετη εικονικοποίηση δεν απαιτείται, μπορεί να απενεργοποιηθεί προσωρινά:

echo 'options kvm_amd nested=0' \
> /etc/modprobe.d/disable-kvm-nesting.conf

echo 'options kvm_intel nested=0' \
>> /etc/modprobe.d/disable-kvm-nesting.conf

Κάντε επανεκκίνηση του server ή επαναφορτώστε με ασφάλεια το σχετικό module KVM.

Ο μετριασμός αυτός δεν αντικαθιστά την απαιτούμενη ενημέρωση kernel.

Προσωρινός μετριασμός για servers χωρίς εικονικοποίηση

Σε έναν server που δεν χρησιμοποιεί εικονικοποίηση KVM, αποτρέψτε τη φόρτωση των modules του συγκεκριμένου hardware:

printf 'install kvm_intel /bin/false\ninstall kvm_amd /bin/false\n' \
> /etc/modprobe.d/disable-kvm.conf

Μην αποφορτώνετε και μην αποκλείετε modules KVM σε server που τρέχει αυτή τη στιγμή εικονικές μηχανές.

OVSwrap: CVE-2026-64531

Το OVSwrap είναι ευπάθεια του Linux kernel στον κώδικα επαλήθευσης ενεργειών του Open vSwitch.

Μια τοπική διεργασία χωρίς προνόμια μπορεί να εκμεταλλευτεί το ευάλωτο kernel module για να αποκτήσει πρόσβαση root.

Το Open vSwitch δεν χρειάζεται να είναι διαμορφωμένο ή σε ενεργή λειτουργία. Το ευάλωτο module μπορεί να φορτωθεί αυτόματα όταν γίνει ένα ειδικά κατασκευασμένο αίτημα.

Υπάρχει δημόσιο exploit.

Έλεγχος διαθεσιμότητας του Open vSwitch

find /lib/modules/$(uname -r) \
-type f -name 'openvswitch.ko*' 2>/dev/null

Ελέγξτε αν είναι φορτωμένο αυτή τη στιγμή:

lsmod | grep '^openvswitch'

Η ευπάθεια βρίσκεται στο kernel module. Ο έλεγχος μόνο του αν είναι εγκατεστημένο το πακέτο userspace του Open vSwitch δεν επαρκεί.

AlmaLinux, Rocky Linux, RHEL και CloudLinux

Το OVSwrap επηρεάζει τμήματα των οικογενειών kernel Enterprise Linux 9 και 10.

Οι επηρεαζόμενοι servers πρέπει να εγκαταστήσουν τον τελευταίο kernel του κατασκευαστή ή να επιβεβαιώσουν ότι έχει εφαρμοστεί το αντίστοιχο livepatch KernelCare.

kcarectl --patch-info | grep CVE-2026-64531

Oracle Linux

Οι διαχειριστές Oracle Linux πρέπει να ελέγξουν αν το module Open vSwitch είναι διαθέσιμο στον ενεργό kernel RHCK ή UEK.

Εγκαταστήστε όλες τις τρέχουσες ενημερώσεις ασφαλείας kernel Oracle Linux και εφαρμόστε τον προσωρινό μετριασμό του module όπου το Open vSwitch δεν απαιτείται.

Ubuntu

Οι servers Ubuntu πρέπει να αντιμετωπίζονται ως πιθανώς εκτεθειμένοι όπου ο τρέχων kernel περιέχει το module Open vSwitch και το εγκατεστημένο πακέτο δεν έχει επιβεβαιωθεί ως διορθωμένο.

Εντοπίστε το πακέτο του τρέχοντος kernel:

uname -r
dpkg -S /boot/vmlinuz-$(uname -r)

Ελέγξτε για το module:

find /lib/modules/$(uname -r) \
-type f -name 'openvswitch.ko*' 2>/dev/null

Εγκαταστήστε όλες τις διαθέσιμες ενημερώσεις ασφαλείας Ubuntu.

Προσωρινός μετριασμός για το OVSwrap

Σε έναν server που δεν χρησιμοποιεί Open vSwitch, αποτρέψτε τη φόρτωση του module:

echo 'install openvswitch /bin/false' \
> /etc/modprobe.d/ovswrap.conf

Αν το module είναι ήδη φορτωμένο και δεν χρησιμοποιείται:

modprobe -r openvswitch

Στο Ubuntu, ξαναχτίστε το αρχικό RAM filesystem:

update-initramfs -u

Σε συστήματα συμβατά με RHEL και Oracle Linux:

dracut -f

Μην εφαρμόζετε αυτόν τον μετριασμό σε περιβάλλοντα εικονικοποίησης, δικτύωσης ή containers που πραγματικά εξαρτώνται από το Open vSwitch.

Ενημέρωση AlmaLinux, CloudLinux, Rocky Linux και συστημάτων συμβατών με RHEL

Ενημερώστε και κάντε επανεκκίνηση. Ελέγξτε τον τρέχοντα kernel με uname -r (και rpm -q kernel kernel-core kernel-uek σε Oracle Linux, dpkg -S /boot/vmlinuz-$(uname -r) σε Ubuntu). Ένα livepatch μετράει μόνο αν αναφέρει το CVE.

Ενημέρωση Oracle Linux

Εγκαταστήστε όλες τις διαθέσιμες ενημερώσεις Oracle Linux:

dnf clean all
dnf update -y

Ελέγξτε τους εγκατεστημένους kernels RHCK και UEK:

rpm -q kernel kernel-core kernel-uek kernel-uek-core

Ελέγξτε τον προεπιλεγμένο kernel εκκίνησης:

grubby --default-kernel

Κάντε επανεκκίνηση και επαληθεύστε:

reboot

uname -r

Ενημέρωση Ubuntu

Εντοπίστε την έκδοση Ubuntu και το πακέτο του τρέχοντος kernel:

cat /etc/os-release
uname -r
dpkg -S /boot/vmlinuz-$(uname -r)

Εγκαταστήστε όλες τις διαθέσιμες ενημερώσεις:

apt update
apt full-upgrade -y

Ελέγξτε αν απαιτείται επανεκκίνηση:

test -f /var/run/reboot-required \
&& cat /var/run/reboot-required

Κάντε επανεκκίνηση και επαληθεύστε:

reboot

uname -r

Η κατάσταση ασφαλείας του generic kernel Ubuntu δεν μπορεί να εφαρμοστεί αυτόματα στις παραλλαγές Hardware Enablement, cloud-optimized, low-latency, real-time ή FIPS.

Επαλήθευση μετά την ενημέρωση

Μετά την εφαρμογή των ενημερώσεων, επαληθεύστε το λειτουργικό σύστημα και τον ενεργό kernel:

cat /etc/os-release
uname -r

Ελέγξτε αν παραμένουν φορτωμένα modules KVM ή Open vSwitch:

lsmod | grep -E '^(kvm|openvswitch)'

Σε συστήματα με KernelCare:

kcarectl --patch-info \
| grep -E \
'CVE-2026-43499|CVE-2026-46242|CVE-2026-53359|CVE-2026-64531'

Σε συστήματα Ubuntu με Livepatch:

canonical-livepatch status --verbose

Συστάσεις της EuroVPS

Η EuroVPS συνιστά στους διαχειριστές servers hosting και εικονικοποίησης Linux:

1. Να επαληθεύσουν την κάλυψη KernelCare ή Ubuntu Livepatch ξεχωριστά για κάθε CVE.
2. Να απενεργοποιήσουν το KVM ή την ένθετη εικονικοποίηση όπου δεν απαιτούνται.
3. Να αποκλείσουν το module Open vSwitch όπου υπάρχει αλλά δεν απαιτείται.
4. Να διερευνήσουν παραβιασμένα websites ή λογαριασμούς χρηστών, καθώς η διόρθωση του kernel δεν αφαιρεί μια υπάρχουσα παραβίαση.

Πίνακες ελέγχου όπως το cPanel και το Plesk δεν αντικαθιστούν τον υποκείμενο kernel του λειτουργικού συστήματος. Οι ενημερώσεις kernel πρέπει να εγκαθίστανται μέσω του κατασκευαστή του λειτουργικού συστήματος ή εγκεκριμένου παρόχου livepatch.

Χρειάζεστε βοήθεια;

Αν ο server σας είναι υπό τη διαχείριση της EuroVPS, ανοίξτε ένα ticket: ελέγχουμε την έκθεση, εφαρμόζουμε τις ενημερώσεις, συντονίζουμε την επανεκκίνηση και εξετάζουμε τον server για ενδείξεις παραβίασης.

Shared FAQ page chrome (breadcrumb, dates, read time, «Συνεχίστε την ανάγνωση», enquiry block, category labels): see INDEX-AND-CHROME.md. Translate once.