Ядро Linux: GhostLock, Bad Epoll, Januscape, OVSwrap

У липні 2026 року було розкрито кілька серйозних вразливостей ядра Linux. Ці проблеми особливо важливі для хостинг-серверів, багатокористувацьких середовищ, контейнерних платформ і хостів віртуалізації KVM.

У цьому бюлетені розглянуто такі вразливості:

• CVE-2026-43499: GhostLock
• CVE-2026-46242: Bad Epoll
• CVE-2026-53359: Januscape
• CVE-2026-64531: OVSwrap

Залежно від операційної системи, версії ядра та увімкнених модулів ці вразливості можуть дозволити непривілейованому процесу отримати доступ root, вийти за межі контейнера, вийти за межі віртуальної машини або спричинити збій фізичного хоста.

Хоча це переважно локальні вразливості, вони залишаються дуже актуальними для хостинг-серверів, доступних з інтернету. Зловмисник, який скомпрометував вебсайт, плагін, інсталяцію CMS або обліковий запис клієнта, може вже мати достатній локальний доступ, щоб атакувати ядро.

Огляд вразливостей

Вразливість	Основний вплив	Найбільш релевантні системи
GhostLock: CVE-2026-43499	Локальне підвищення привілеїв до root і вихід з контейнера	Багатоорендні, багатокористувацькі та контейнерні сервери
Bad Epoll: CVE-2026-46242	Локальне підвищення привілеїв до root	Новіші гілки ядер Enterprise Linux і Ubuntu
Januscape: CVE-2026-53359	Вихід гостя KVM на хост і збій хоста	Гіпервізори KVM і сервери, що відкривають /dev/kvm
OVSwrap: CVE-2026-64531	Локальне підвищення привілеїв до root через Open vSwitch	Системи з ураженим модулем ядра Open vSwitch

GhostLock: CVE-2026-43499

GhostLock є вразливістю типу use-after-free у коді ядра Linux для м’ютексів реального часу та успадкування пріоритетів у futex.

Непривілейований локальний процес може використати вразливість для отримання привілеїв root. Та сама вразливість може бути використана зсередини контейнера для виходу з нього та компрометації хоста.

Спеціальні можливості (capabilities) Linux не потрібні, а подробиці експлуатації є у відкритому доступі.

Практичного заходу на рівні конфігурації немає. Потрібне виправлене ядро або перевірений livepatch.

AlmaLinux, Rocky Linux і системи, сумісні з RHEL

GhostLock уражає підтримувані гілки ядра AlmaLinux 8, 9 і 10.

Виправлення містять такі ядра AlmaLinux:

Операційна система	Мінімальне виправлене ядро
AlmaLinux 8	4.18.0-553.141.2.el8_10
AlmaLinux 9	5.14.0-687.24.1.el9_8
AlmaLinux 10	6.12.0-211.32.1.el10_2

Адміністраторам Rocky Linux і RHEL слід встановити найновіше ядро з репозиторіїв відповідного постачальника, а не пакети з іншого дистрибутива.

CloudLinux

GhostLock уражає підтримувані гілки ядра CloudLinux.

Адміністраторам слід встановити найновіше ядро CloudLinux або переконатися, що KernelCare застосував livepatch, який покриває:

CVE-2026-43499

Перевірте покриття KernelCare:

kcarectl --update
kcarectl --patch-info | grep CVE-2026-43499

Oracle Linux

Системи Oracle Linux можуть працювати на одному з двох ядер:

• Red Hat Compatible Kernel: RHCK
• Unbreakable Enterprise Kernel: UEK

Oracle опублікувала оновлення безпеки для уражених гілок ядер RHCK і UEK.

Визначте активне ядро Oracle Linux:

cat /etc/oracle-release
uname -r
rpm -q kernel kernel-core kernel-uek kernel-uek-core

Запущене ядро, у назві якого є uek, це Unbreakable Enterprise Kernel.

Встановіть найновіше ядро з відповідного репозиторію Oracle Linux і перезавантажте сервер. Версії RHCK і UEK не можна порівнювати напряму, бо вони мають різні назви пакетів і різну нумерацію версій.

Ubuntu

Canonical оцінює GhostLock як вразливість високої (High) серйозності.

Станом на 5 серпня 2026 року статус стандартних ядер Ubuntu такий:

Випуск Ubuntu	Статус
Ubuntu 26.04 LTS	Виправлено
Ubuntu 24.04 LTS	Виправлено
Ubuntu 22.04 LTS	Оновлення триває
Ubuntu 20.04 LTS	Оновлення триває

Ubuntu має кілька варіантів ядра, зокрема generic, Hardware Enablement, оптимізовані для хмари, low-latency, real-time і FIPS.

Статус може відрізнятися між варіантами ядра. Адміністратори мають перевіряти точний встановлений пакет, а не покладатися лише на номер випуску Ubuntu.

uname -r
dpkg -S /boot/vmlinuz-$(uname -r)

Встановіть усі доступні оновлення та перезавантажте сервер:

apt update
apt full-upgrade -y
reboot

Якщо увімкнено Ubuntu Livepatch, переконайтеся, що саме цей CVE покрито:

canonical-livepatch refresh
canonical-livepatch status --verbose

Bad Epoll: CVE-2026-46242

Bad Epoll є вразливістю типу race condition і use-after-free у підсистемі сповіщень про події epoll ядра Linux.

Непривілейований процес може спричинити вразливий стан і перетворити його на довільний доступ до пам’яті ядра та виконання коду з правами root.

Ця проблема особливо актуальна для багатоорендних серверів, бо epoll є базовим механізмом Linux, яким користуються вебсервери, воркери PHP, бази даних і багато інших сервісів.

Практичного заходу під час роботи немає, бо epoll не можна вимкнути на працюючому сервері Linux. Потрібне виправлене ядро або перевірений livepatch.

AlmaLinux

Bad Epoll уражає:

• AlmaLinux 9
• AlmaLinux 10

AlmaLinux 8 не уражено.

Виправлення міститься у:

Операційна система	Мінімальне виправлене ядро
AlmaLinux 9	5.14.0-687.23.1.el9_8
AlmaLinux 10	6.12.0-211.31.1.el10_2

Новіші ядра з виправленням GhostLock також містять виправлення Bad Epoll.

CloudLinux

Уражені платформи CloudLinux:

• CloudLinux 9
• CloudLinux 9 LTS
• CloudLinux 10

Гілки ядер CloudLinux 7 і CloudLinux 8 цією конкретною вразливістю не уражені.

Перевірте покриття KernelCare:

kcarectl --patch-info | grep CVE-2026-46242

Oracle Linux

Oracle опублікувала оновлення Bad Epoll для уражених гілок ядер RHCK і UEK в Oracle Linux 9 і 10.

Встановіть усі поточні оновлення Oracle Linux і переконайтеся, що сервер завантажується в оновлене ядро RHCK або UEK.

Ubuntu

Canonical оцінює Bad Epoll як вразливість високої серйозності.

Статус стандартних ядер Ubuntu станом на 5 серпня 2026 року:

Випуск Ubuntu	Статус
Ubuntu 26.04 LTS	Виправлено
Ubuntu 24.04 LTS	Оновлення триває
Ubuntu 22.04 LTS	Не уражено
Ubuntu 20.04 LTS	Не уражено

Спеціалізовані варіанти ядра Ubuntu можуть мати інший статус.

Визначте точний пакет ядра:

uname -r
dpkg -S /boot/vmlinuz-$(uname -r)

Встановіть усі доступні на цей момент оновлення Ubuntu:

apt update
apt full-upgrade -y

Перезавантажте сервер там, де встановлено оновлення ядра:

reboot

Januscape: CVE-2026-53359

Januscape є вразливістю у коді керування пам’яттю KVM/x86 ядра Linux.

Її найсерйозніший шлях атаки дозволяє зловмисній віртуальній машині вийти за межі гостя та виконувати команди від імені root на фізичному хості віртуалізації.

Вразливість також може дозволити зловмисному гостю спричинити збій ядра хоста, що вплине на всі віртуальні машини на сервері.

Januscape уражає віртуалізацію x86 на Intel і AMD. Сервери, які зазвичай не розміщують віртуальних машин, усе одно можуть бути вразливими, якщо непривілейований процес має доступ до /dev/kvm.

Перевірка наявності KVM

lsmod | grep '^kvm'
ls -l /dev/kvm 2>/dev/null

AlmaLinux, CloudLinux і системи, сумісні з RHEL

Januscape уражає відповідні гілки ядер з увімкненим KVM в AlmaLinux, CloudLinux та інших системах, сумісних з RHEL.

Новіші ядра AlmaLinux з виправленням GhostLock, перелічені вище, також містять виправлення Januscape.

Адміністраторам слід встановити найновіше ядро постачальника та перезавантажити сервер.

Oracle Linux

Oracle опублікувала оновлення Januscape для уражених гілок ядер RHCK і UEK.

Виправлення потрібно застосувати на фізичному хості KVM. Оновлення лише гостьових операційних систем не захищає гіпервізор.

Oracle Linux Virtualization Manager та інші хости KVM слід оновлювати через відповідні репозиторії Oracle Linux.

Ubuntu

Canonical зазначає, що Januscape уражає Ubuntu на системах x86 Intel і AMD, де увімкнено вкладену (nested) віртуалізацію KVM.

Перевірте, чи активна вкладена віртуалізація:

grep . /sys/module/kvm_{amd,intel}/parameters/nested 2>/dev/null

Значення 1 або Y означає, що вкладену віртуалізацію увімкнено.

Якщо вкладена віртуалізація не потрібна, її можна тимчасово вимкнути:

echo 'options kvm_amd nested=0' \
> /etc/modprobe.d/disable-kvm-nesting.conf

echo 'options kvm_intel nested=0' \
>> /etc/modprobe.d/disable-kvm-nesting.conf

Перезавантажте сервер або безпечно перезавантажте відповідний модуль KVM.

Цей захід не замінює потрібне оновлення ядра.

Тимчасовий захід для серверів без віртуалізації

На сервері, який не використовує віртуалізацію KVM, заборонити завантаження апаратно-специфічних модулів:

printf 'install kvm_intel /bin/false\ninstall kvm_amd /bin/false\n' \
> /etc/modprobe.d/disable-kvm.conf

Не вивантажуйте та не блокуйте модулі KVM на сервері, на якому зараз працюють віртуальні машини.

OVSwrap: CVE-2026-64531

OVSwrap є вразливістю ядра Linux у коді перевірки дій Open vSwitch.

Непривілейований локальний процес може використати вразливий модуль ядра для отримання доступу root.

Open vSwitch не обов’язково має бути налаштований чи активно працювати. Вразливий модуль може завантажитися автоматично, коли надходить спеціально сформований запит.

Публічний експлойт доступний.

Перевірка наявності Open vSwitch

find /lib/modules/$(uname -r) \
-type f -name 'openvswitch.ko*' 2>/dev/null

Перевірте, чи модуль зараз завантажено:

lsmod | grep '^openvswitch'

Вразливість міститься в модулі ядра. Перевірки лише того, чи встановлено пакет Open vSwitch для простору користувача, недостатньо.

AlmaLinux, Rocky Linux, RHEL і CloudLinux

OVSwrap уражає частину сімейств ядер Enterprise Linux 9 і 10.

На уражених серверах слід встановити найновіше ядро постачальника або переконатися, що застосовано відповідний livepatch KernelCare.

kcarectl --patch-info | grep CVE-2026-64531

Oracle Linux

Адміністраторам Oracle Linux слід перевірити, чи доступний модуль Open vSwitch в активному ядрі RHCK або UEK.

Встановіть усі поточні оновлення безпеки ядра Oracle Linux і застосуйте тимчасовий захід для модуля там, де Open vSwitch не потрібен.

Ubuntu

Сервери Ubuntu слід вважати потенційно вразливими, якщо запущене ядро містить модуль Open vSwitch, а встановлений пакет не підтверджено як виправлений.

Визначте пакет запущеного ядра:

uname -r
dpkg -S /boot/vmlinuz-$(uname -r)

Перевірте наявність модуля:

find /lib/modules/$(uname -r) \
-type f -name 'openvswitch.ko*' 2>/dev/null

Встановіть усі доступні на цей момент оновлення безпеки Ubuntu.

Тимчасовий захід для OVSwrap

На сервері, який не використовує Open vSwitch, заборонити завантаження модуля:

echo 'install openvswitch /bin/false' \
> /etc/modprobe.d/ovswrap.conf

Якщо модуль уже завантажено і він не використовується:

modprobe -r openvswitch

На Ubuntu перебудуйте початкову файлову систему RAM:

update-initramfs -u

На системах, сумісних з RHEL, і Oracle Linux:

dracut -f

Не застосовуйте цей захід у середовищах віртуалізації, мережі чи контейнерів, які справді залежать від Open vSwitch.

Оновлення AlmaLinux, CloudLinux, Rocky Linux і систем, сумісних з RHEL

Оновіться та перезавантажте сервер. Перевірте запущене ядро командою uname -r (а також rpm -q kernel kernel-core kernel-uek на Oracle Linux і dpkg -S /boot/vmlinuz-$(uname -r) на Ubuntu); livepatch зараховується лише тоді, коли в його переліку є відповідний CVE.

Оновлення Oracle Linux

Встановіть усі доступні оновлення Oracle Linux:

dnf clean all
dnf update -y

Перегляньте встановлені ядра RHCK і UEK:

rpm -q kernel kernel-core kernel-uek kernel-uek-core

Перевірте ядро, що завантажується за замовчуванням:

grubby --default-kernel

Перезавантажте сервер і перевірте:

reboot

uname -r

Оновлення Ubuntu

Визначте випуск Ubuntu і пакет запущеного ядра:

cat /etc/os-release
uname -r
dpkg -S /boot/vmlinuz-$(uname -r)

Встановіть усі доступні оновлення:

apt update
apt full-upgrade -y

Перевірте, чи потрібне перезавантаження:

test -f /var/run/reboot-required \
&& cat /var/run/reboot-required

Перезавантажте сервер і перевірте:

reboot

uname -r

Статус безпеки ядра generic Ubuntu не можна автоматично переносити на варіанти Hardware Enablement, оптимізовані для хмари, low-latency, real-time або FIPS.

Перевірка після оновлення

Після встановлення оновлень перевірте операційну систему та активне ядро:

cat /etc/os-release
uname -r

Перевірте, чи залишилися завантаженими модулі KVM або Open vSwitch:

lsmod | grep -E '^(kvm|openvswitch)'

На системах із KernelCare:

kcarectl --patch-info \
| grep -E \
'CVE-2026-43499|CVE-2026-46242|CVE-2026-53359|CVE-2026-64531'

На системах Ubuntu з Livepatch:

canonical-livepatch status --verbose

Рекомендації EuroVPS

EuroVPS рекомендує адміністраторам хостинг-серверів і серверів віртуалізації на Linux:

1. Перевірити покриття KernelCare або Ubuntu Livepatch окремо для кожного CVE.
2. Вимкнути KVM або вкладену віртуалізацію там, де вони не потрібні.
3. Заблокувати модуль Open vSwitch там, де він є, але не потрібен.
4. Розслідувати скомпрометовані вебсайти або облікові записи користувачів, оскільки оновлення ядра не усуває наявної компрометації.

Панелі керування, такі як cPanel і Plesk, не замінюють ядро операційної системи. Оновлення ядра все одно потрібно встановлювати через постачальника операційної системи або схваленого постачальника livepatch.

Потрібна допомога?

Якщо вашим сервером керує EuroVPS, відкрийте тікет: ми перевіримо вразливість, застосуємо оновлення, скоординуємо перезавантаження та перевіримо сервер на ознаки компрометації.

Shared FAQ page chrome (breadcrumb, dates, read time, «Читати далі», enquiry block, category labels): see INDEX-AND-CHROME.md. Translate once.