Kernel Linux: GhostLock, Bad Epoll, Januscape, OVSwrap

Shared FAQ page chrome (breadcrumb, dates, read time, «Continua a leggere», enquiry block, category labels): see INDEX-AND-CHROME.md. Translate once.

A luglio 2026 sono state divulgate diverse gravi vulnerabilità del kernel Linux. Sono particolarmente importanti per i server di hosting, gli ambienti multiutente, le piattaforme container e gli host di virtualizzazione KVM.

Le vulnerabilità trattate in questo avviso sono:

• CVE-2026-43499: GhostLock
• CVE-2026-46242: Bad Epoll
• CVE-2026-53359: Januscape
• CVE-2026-64531: OVSwrap

A seconda del sistema operativo, della versione del kernel e dei moduli attivi, queste vulnerabilità possono consentire a un processo senza privilegi di ottenere l'accesso root, di evadere da un container, di evadere da una macchina virtuale o di mandare in crash l'host fisico.

Pur trattandosi principalmente di vulnerabilità locali, restano molto rilevanti per i server di hosting esposti su internet. Un attaccante che compromette un sito web, un plugin, un'installazione CMS o un account cliente può già disporre dell'accesso locale sufficiente per attaccare il kernel sottostante.

Panoramica delle vulnerabilità

Vulnerabilità	Impatto principale	Sistemi più rilevanti
GhostLock: CVE-2026-43499	Escalation locale a root ed evasione dai container	Server multi-tenant, multiutente e container
Bad Epoll: CVE-2026-46242	Escalation locale a root	Flussi kernel più recenti di Enterprise Linux e Ubuntu
Januscape: CVE-2026-53359	Evasione da guest KVM a host e crash dell'host	Hypervisor KVM e server che espongono /dev/kvm
OVSwrap: CVE-2026-64531	Escalation locale a root tramite Open vSwitch	Sistemi che contengono un modulo kernel Open vSwitch interessato

GhostLock: CVE-2026-43499

GhostLock è una vulnerabilità use-after-free nel codice del kernel Linux per i mutex real-time e l'ereditarietà di priorità dei futex.

Un processo locale senza privilegi può sfruttarla per ottenere i privilegi di root. La stessa vulnerabilità può essere usata dall'interno di un container per evadere e compromettere l'host.

Non servono capability Linux particolari, e i dettagli pubblici di sfruttamento sono disponibili.

Non esiste una mitigazione pratica basata sulla configurazione. Serve un kernel corretto o un livepatch verificato.

AlmaLinux, Rocky Linux e sistemi compatibili RHEL

GhostLock interessa i rami kernel supportati di AlmaLinux 8, 9 e 10.

I seguenti kernel AlmaLinux includono la correzione:

Sistema operativo	Kernel corretto minimo
AlmaLinux 8	4.18.0-553.141.2.el8_10
AlmaLinux 9	5.14.0-687.24.1.el9_8
AlmaLinux 10	6.12.0-211.32.1.el10_2

Gli amministratori di Rocky Linux e RHEL dovrebbero installare l'ultimo kernel disponibile dai repository del rispettivo vendor, non pacchetti di un'altra distribuzione.

CloudLinux

GhostLock interessa i flussi kernel supportati di CloudLinux.

Gli amministratori dovrebbero installare l'ultimo kernel CloudLinux o confermare che KernelCare abbia applicato un livepatch che copre:

CVE-2026-43499

Verificate la copertura KernelCare:

kcarectl --update
kcarectl --patch-info | grep CVE-2026-43499

Oracle Linux

I sistemi Oracle Linux possono eseguire:

• Red Hat Compatible Kernel: RHCK
• Unbreakable Enterprise Kernel: UEK

Oracle ha pubblicato aggiornamenti di sicurezza per i flussi kernel RHCK e UEK interessati.

Identificate il kernel Oracle Linux attivo:

cat /etc/oracle-release
uname -r
rpm -q kernel kernel-core kernel-uek kernel-uek-core

Un kernel in esecuzione che contiene uek è un Unbreakable Enterprise Kernel.

Installate l'ultimo kernel dal repository Oracle Linux appropriato e riavviate. Le versioni RHCK e UEK non vanno confrontate direttamente, perché usano nomi di pacchetto e numerazioni diverse.

Ubuntu

Canonical classifica GhostLock come vulnerabilità di gravità alta.

Al 5 agosto 2026, lo stato del kernel Ubuntu standard è il seguente:

Release Ubuntu	Stato
Ubuntu 26.04 LTS	Corretto
Ubuntu 24.04 LTS	Corretto
Ubuntu 22.04 LTS	Aggiornamento in corso
Ubuntu 20.04 LTS	Aggiornamento in corso

Ubuntu fornisce diverse varianti del kernel, tra cui generic, Hardware Enablement, ottimizzate per il cloud, low-latency, real-time e FIPS.

Lo stato può differire tra le varianti. Gli amministratori devono verificare il pacchetto esatto installato, non affidarsi solo al numero di release di Ubuntu.

uname -r
dpkg -S /boot/vmlinuz-$(uname -r)

Installate tutti gli aggiornamenti disponibili e riavviate:

apt update
apt full-upgrade -y
reboot

Dove Ubuntu Livepatch è attivo, confermate che questa specifica CVE sia coperta:

canonical-livepatch refresh
canonical-livepatch status --verbose

Bad Epoll: CVE-2026-46242

Bad Epoll è una race condition con use-after-free nel sottosistema di notifica eventi epoll del kernel Linux.

Un processo senza privilegi può innescare la condizione vulnerabile e convertirla in accesso arbitrario alla memoria del kernel ed esecuzione con privilegi di root.

Il problema è particolarmente rilevante per i server multi-tenant, perché epoll è una funzionalità di base di Linux usata da web server, worker PHP, database e molti altri servizi.

Non esiste una mitigazione pratica a runtime, perché epoll non può essere disattivato su un server Linux funzionante. Serve un kernel corretto o un livepatch verificato.

AlmaLinux

Bad Epoll interessa:

• AlmaLinux 9
• AlmaLinux 10

AlmaLinux 8 non è interessato.

La correzione è inclusa in:

Sistema operativo	Kernel corretto minimo
AlmaLinux 9	5.14.0-687.23.1.el9_8
AlmaLinux 10	6.12.0-211.31.1.el10_2

I kernel più recenti corretti per GhostLock includono anche la correzione di Bad Epoll.

CloudLinux

Le piattaforme CloudLinux interessate sono:

• CloudLinux 9
• CloudLinux 9 LTS
• CloudLinux 10

I flussi kernel di CloudLinux 7 e CloudLinux 8 non sono interessati da questa specifica vulnerabilità.

Verificate la copertura KernelCare:

kcarectl --patch-info | grep CVE-2026-46242

Oracle Linux

Oracle ha pubblicato gli aggiornamenti per Bad Epoll per i flussi kernel RHCK o UEK interessati di Oracle Linux 9 e 10.

Installate tutti gli aggiornamenti Oracle Linux correnti e confermate che il server si avvii con il kernel RHCK o UEK aggiornato.

Ubuntu

Canonical classifica Bad Epoll come gravità alta.

Lo stato del kernel Ubuntu standard al 5 agosto 2026 è il seguente:

Release Ubuntu	Stato
Ubuntu 26.04 LTS	Corretto
Ubuntu 24.04 LTS	Aggiornamento in corso
Ubuntu 22.04 LTS	Non interessato
Ubuntu 20.04 LTS	Non interessato

Le varianti kernel specializzate di Ubuntu possono avere uno stato diverso.

Identificate il pacchetto kernel esatto:

uname -r
dpkg -S /boot/vmlinuz-$(uname -r)

Installate tutti gli aggiornamenti Ubuntu disponibili:

apt update
apt full-upgrade -y

Riavviate dove è stato installato un aggiornamento del kernel:

reboot

Januscape: CVE-2026-53359

Januscape è una vulnerabilità nel codice di gestione della memoria KVM/x86 del kernel Linux.

Il suo percorso di attacco più grave permette a una macchina virtuale malevola di evadere dal guest ed eseguire comandi come root sull'host fisico di virtualizzazione.

La vulnerabilità può anche permettere a un guest malevolo di mandare in crash il kernel dell'host, con effetto su tutte le macchine virtuali in esecuzione sul server.

Januscape interessa la virtualizzazione x86 Intel e AMD. Anche i server che normalmente non ospitano macchine virtuali possono essere esposti dove un processo senza privilegi può accedere a /dev/kvm.

Verificare l'esposizione KVM

lsmod | grep '^kvm'
ls -l /dev/kvm 2>/dev/null

AlmaLinux, CloudLinux e sistemi compatibili RHEL

Januscape interessa i flussi kernel con KVM abilitato di AlmaLinux, CloudLinux e degli altri sistemi compatibili RHEL.

I kernel AlmaLinux più recenti corretti per GhostLock, elencati sopra, includono anche la correzione di Januscape.

Gli amministratori dovrebbero installare l'ultimo kernel del vendor e riavviare.

Oracle Linux

Oracle ha pubblicato gli aggiornamenti per Januscape per i flussi kernel RHCK e UEK interessati.

La correzione va applicata all'host KVM fisico. Aggiornare solo i sistemi operativi guest non protegge l'hypervisor.

Oracle Linux Virtualization Manager e gli altri host KVM vanno aggiornati tramite i repository Oracle Linux appropriati.

Ubuntu

Canonical dichiara che Januscape interessa Ubuntu sui sistemi x86 Intel e AMD dove è abilitata la virtualizzazione KVM annidata (nested).

Verificate se la virtualizzazione annidata è attiva:

grep . /sys/module/kvm_{amd,intel}/parameters/nested 2>/dev/null

Un valore 1 o Y indica che la virtualizzazione annidata è abilitata.

Dove non serve, può essere disattivata temporaneamente:

echo 'options kvm_amd nested=0' \
> /etc/modprobe.d/disable-kvm-nesting.conf

echo 'options kvm_intel nested=0' \
>> /etc/modprobe.d/disable-kvm-nesting.conf

Riavviate il server o ricaricate in sicurezza il modulo KVM interessato.

Questa mitigazione non sostituisce l'aggiornamento del kernel richiesto.

Mitigazione temporanea per i server senza virtualizzazione

Su un server che non usa la virtualizzazione KVM, impedite il caricamento dei moduli specifici per l'hardware:

printf 'install kvm_intel /bin/false\ninstall kvm_amd /bin/false\n' \
> /etc/modprobe.d/disable-kvm.conf

Non scaricate né bloccate i moduli KVM su un server che sta eseguendo macchine virtuali.

OVSwrap: CVE-2026-64531

OVSwrap è una vulnerabilità del kernel Linux nel codice di validazione delle azioni di Open vSwitch.

Un processo locale senza privilegi può sfruttare il modulo kernel vulnerabile per ottenere l'accesso root.

Open vSwitch non deve essere configurato né in esecuzione. Il modulo vulnerabile può essere caricato automaticamente quando viene fatta una richiesta appositamente costruita.

È disponibile un exploit pubblico.

Verificare se Open vSwitch è disponibile

find /lib/modules/$(uname -r) \
-type f -name 'openvswitch.ko*' 2>/dev/null

Verificate se è attualmente caricato:

lsmod | grep '^openvswitch'

La vulnerabilità risiede nel modulo kernel. Controllare solo se il pacchetto userspace di Open vSwitch è installato non basta.

AlmaLinux, Rocky Linux, RHEL e CloudLinux

OVSwrap interessa parti delle famiglie kernel di Enterprise Linux 9 e 10.

I server interessati dovrebbero installare l'ultimo kernel del vendor o confermare che sia stato applicato un livepatch KernelCare adeguato.

kcarectl --patch-info | grep CVE-2026-64531

Oracle Linux

Gli amministratori Oracle Linux dovrebbero verificare se il modulo Open vSwitch è disponibile nel kernel RHCK o UEK attivo.

Installate tutti gli aggiornamenti di sicurezza del kernel Oracle Linux correnti e applicate la mitigazione temporanea sul modulo dove Open vSwitch non serve.

Ubuntu

I server Ubuntu vanno considerati potenzialmente esposti dove il kernel in esecuzione contiene il modulo Open vSwitch e il pacchetto installato non è confermato come corretto.

Identificate il pacchetto del kernel in esecuzione:

uname -r
dpkg -S /boot/vmlinuz-$(uname -r)

Verificate la presenza del modulo:

find /lib/modules/$(uname -r) \
-type f -name 'openvswitch.ko*' 2>/dev/null

Installate tutti gli aggiornamenti di sicurezza Ubuntu disponibili.

Mitigazione temporanea per OVSwrap

Su un server che non usa Open vSwitch, impedite il caricamento del modulo:

echo 'install openvswitch /bin/false' \
> /etc/modprobe.d/ovswrap.conf

Se il modulo è già caricato e non è in uso:

modprobe -r openvswitch

Su Ubuntu, ricostruite il filesystem RAM iniziale:

update-initramfs -u

Sui sistemi compatibili RHEL e Oracle Linux:

dracut -f

Non applicate questa mitigazione ad ambienti di virtualizzazione, rete o container che dipendono davvero da Open vSwitch.

Aggiornare AlmaLinux, CloudLinux, Rocky Linux e i sistemi compatibili RHEL

Aggiornate e riavviate. Verificate il kernel in esecuzione con uname -r (e rpm -q kernel kernel-core kernel-uek su Oracle Linux, dpkg -S /boot/vmlinuz-$(uname -r) su Ubuntu); un livepatch conta solo se elenca la CVE.

Aggiornare Oracle Linux

Installate tutti gli aggiornamenti Oracle Linux disponibili:

dnf clean all
dnf update -y

Controllate i kernel RHCK e UEK installati:

rpm -q kernel kernel-core kernel-uek kernel-uek-core

Verificate il kernel di avvio predefinito:

grubby --default-kernel

Riavviate e verificate:

reboot

uname -r

Aggiornare Ubuntu

Identificate la release Ubuntu e il pacchetto del kernel in esecuzione:

cat /etc/os-release
uname -r
dpkg -S /boot/vmlinuz-$(uname -r)

Installate tutti gli aggiornamenti disponibili:

apt update
apt full-upgrade -y

Verificate se è richiesto un riavvio:

test -f /var/run/reboot-required \
&& cat /var/run/reboot-required

Riavviate e verificate:

reboot

uname -r

Lo stato di sicurezza del kernel Ubuntu generic non può essere applicato automaticamente alle varianti Hardware Enablement, ottimizzate per il cloud, low-latency, real-time o FIPS.

Verifica dopo l'aggiornamento

Dopo aver applicato gli aggiornamenti, verificate il sistema operativo e il kernel attivo:

cat /etc/os-release
uname -r

Controllate se i moduli KVM o Open vSwitch sono ancora caricati:

lsmod | grep -E '^(kvm|openvswitch)'

Sui sistemi con KernelCare:

kcarectl --patch-info \
| grep -E \
'CVE-2026-43499|CVE-2026-46242|CVE-2026-53359|CVE-2026-64531'

Sui sistemi Ubuntu con Livepatch:

canonical-livepatch status --verbose

Raccomandazioni di EuroVPS

EuroVPS raccomanda agli amministratori di server Linux di hosting e virtualizzazione di:

1. verificare la copertura KernelCare o Ubuntu Livepatch singolarmente per ogni CVE;
2. disattivare KVM o la virtualizzazione annidata dove non servono;
3. bloccare il modulo Open vSwitch dove è presente ma non necessario;
4. indagare sui siti web o sugli account utente compromessi, perché la correzione del kernel non rimuove una compromissione esistente.

I pannelli di controllo come cPanel e Plesk non sostituiscono il kernel del sistema operativo sottostante. Gli aggiornamenti del kernel vanno comunque installati tramite il vendor del sistema operativo o un fornitore di livepatch approvato.

Vi serve assistenza?

Se il vostro server è gestito da EuroVPS, aprite un ticket: verifichiamo l'esposizione, applichiamo gli aggiornamenti, coordiniamo il riavvio e controlliamo il server alla ricerca di segni di compromissione.