CVE-2026-46333 (ssh-keysign-pwn): vulnerabilità ptrace

Shared FAQ page chrome (breadcrumb, dates, read time, «Continua a leggere», enquiry block, category labels): see INDEX-AND-CHROME.md. Translate once.

È stata divulgata una nuova vulnerabilità del kernel Linux, tracciata come CVE-2026-46333 e nota pubblicamente come ssh-keysign-pwn. Il problema riguarda la logica di controllo degli accessi di ptrace nel kernel Linux durante l'uscita di un processo e può consentire a un utente locale senza privilegi di leggere file sensibili di proprietà di root, in determinate condizioni. Sono già disponibili exploit proof-of-concept pubblici.

La vulnerabilità è particolarmente rilevante per i sistemi Linux multiutente, i server multi-tenant e gli ambienti in cui utenti locali non fidati o parzialmente fidati hanno accesso shell.

---

Che cos'è CVE-2026-46333?

CVE-2026-46333 è una race condition del kernel Linux nel percorso di controllo degli accessi di ptrace. Durante il processo di uscita di un programma privilegiato esiste una breve finestra in cui il processo ha già rilasciato il proprio memory descriptor ma mantiene ancora file descriptor aperti. Un processo locale senza privilegi può sfruttare questa race per duplicare i file descriptor del processo privilegiato in uscita.

Gli exploit pubblici dimostrano attualmente l'accesso a file sensibili tramite programmi SUID privilegiati come:

• ssh-keysign, che può accedere alle chiavi private host di SSH
• chage, che può accedere a /etc/shadow

---

Sistemi interessati

Sulla base degli avvisi dei produttori disponibili al 15 maggio 2026:

AlmaLinux

AlmaLinux ha confermato che AlmaLinux 9 e AlmaLinux 10 sono vulnerabili, e gli exploit pubblici funzionano in modo affidabile su entrambi. AlmaLinux 8 non è sfruttabile con l'attuale proof-of-concept pubblico, ma il bug sottostante nella logica del kernel è presente e AlmaLinux sta preparando patch anche per questa versione.

I kernel AlmaLinux corretti sono attualmente disponibili nel repository di test:

Sistema operativo	Versione del kernel corretta
AlmaLinux 8	kernel-4.18.0-553.124.4.el8_10
AlmaLinux 9	kernel-5.14.0-611.54.6.el9_7
AlmaLinux 10	kernel-6.12.0-124.56.5.el10_1

CloudLinux

CloudLinux ha confermato che CloudLinux 8 LTS, CloudLinux 9 e CloudLinux 10 sono interessati dall'attuale proof-of-concept pubblico. CloudLinux 7 non è interessato. CloudLinux 7h e CloudLinux 8 mainstream contengono la race sottostante del kernel, anche se l'attuale proof-of-concept pubblico non li sfrutta direttamente.

CloudLinux ha raccomandato una mitigazione immediata a livello di host con il sysctl specifico di CloudLinux kernel.user_ptrace=0.

---

Mitigazione immediata

La correzione definitiva è installare un kernel corretto dal produttore del vostro sistema operativo e riavviare su quel kernel. Finché il kernel corretto non è installato, le mitigazioni seguenti possono ridurre l'esposizione.

---

Mitigazione per i server CloudLinux

Per i sistemi CloudLinux, applicate la seguente mitigazione:

sysctl -w kernel.user_ptrace=0
echo 'kernel.user_ptrace = 0' | sudo tee /etc/sysctl.d/99-ptracenull.conf
sudo sysctl --system

Verifica:

sysctl kernel.user_ptrace

Output atteso:

kernel.user_ptrace = 0

Questa impostazione disattiva l'uso di ptrace senza privilegi sui sistemi CloudLinux e blocca a livello di kernel il proof-of-concept pubblico attualmente noto. CloudLinux segnala che ciò può influire su strumenti come gdb -p, strace -p e altri strumenti di debugging o monitoraggio che si basano sul collegamento a processi senza privilegi.

---

Mitigazione per i server AlmaLinux

Per i sistemi AlmaLinux, AlmaLinux raccomanda di restringere il ptrace_scope di Yama:

sysctl -w kernel.yama.ptrace_scope=3
echo 'kernel.yama.ptrace_scope = 3' > /etc/sysctl.d/99-ssh-keysign-pwn.conf
sysctl --system

Verifica:

sysctl kernel.yama.ptrace_scope

Output atteso:

kernel.yama.ptrace_scope = 3

AlmaLinux dichiara che impostare kernel.yama.ptrace_scope a 2 o 3 blocca gli exploit pubblici noti. Il valore 3 disattiva completamente il ptrace attach, il che può influire su strumenti di debugging come gdb o strace -p.

---

Hardening aggiuntivo opzionale

Dove opportuno, gli amministratori possono anche rimuovere il bit SUID dai binari attualmente noti come bersaglio:

chmod u-s /usr/libexec/openssh/ssh-keysign 2>/dev/null
chmod u-s /usr/bin/chage

Verifica:

ls -l /usr/libexec/openssh/ssh-keysign /usr/bin/chage

I permessi non devono più mostrare s nel campo di esecuzione del proprietario.

Si tratta solo di una mitigazione parziale. Copre i bersagli attualmente noti degli exploit pubblici, ma non corregge il problema sottostante del kernel. Può inoltre influire sull'autenticazione SSH host-based o sull'uso di chage da parte di utenti non root.

---

Correzione definitiva: aggiornare il kernel

Non appena i pacchetti corretti sono disponibili nei repository di produzione del vostro produttore, aggiornate il kernel e riavviate:

dnf clean all
dnf update -y 'kernel*'
reboot

Dopo il riavvio, verificate il kernel in esecuzione:

uname -r
rpm -q kernel | sort -V

Per AlmaLinux 8, 9 e 10, i kernel corretti sono stati resi disponibili per la prima volta nel repository di test il 15 maggio 2026. La disponibilità in produzione va confermata dal repository del produttore prima di applicare aggiornamenti su sistemi di produzione critici.

---

KernelCare / live patching

CloudLinux ha dichiarato che sono in preparazione live patch KernelCare per i sistemi interessati. Una volta disponibili, i server con KernelCare potranno ricevere la correzione senza riavvio tramite il normale processo di live patching di KernelCare.

Aggiornamento manuale di KernelCare:

kcarectl --update

Controllo delle patch applicate:

kcarectl --patch-info | grep CVE-2026-46333

---

Raccomandazione di EuroVPS

Mitigate subito, aggiornate quando il kernel del produttore raggiunge il repository di produzione e, nel frattempo, verificate quali utenti locali hanno accesso shell.

---

Vi serve aiuto?

Aprite un ticket di assistenza dall'area clienti e i nostri ingegneri mitigheranno, aggiorneranno e pianificheranno il riavvio per voi.