GhostLock: 15χρονη ευπάθεια Linux για root πρόσβαση

Το GhostLock (CVE-2026-43499) είναι μια κρίσιμη ευπάθεια στον πυρήνα Linux που παραμένει κρυμμένη εδώ και 15 χρόνια — από το 2011 — και επιτρέπει σε οποιονδήποτε συνδεδεμένο χρήστη να αποκτήσει πλήρη root πρόσβαση σε μη ενημερωμένα συστήματα. Η αποκάλυψη έγινε από τους ερευνητές της Nebula Security, οι οποίοι ανέπτυξαν και λειτουργικό exploit με αξιοπιστία 97% στις δοκιμές, ικανό μάλιστα να δραπετεύσει από containers. Η Google επιβράβευσε την ομάδα με $92.337 μέσω του προγράμματος kernelCTF bug-bounty.

Δείτε επίσης: Copy Fail: Ευπάθεια Linux επιτρέπει root πρόσβαση σε συστήματα

Το GhostLock επηρεάζει σχεδόν κάθε mainstream διανομή Linux που κυκλοφόρησε μετά το 2011, καθώς ο ευάλωτος κώδικας συμπεριλαμβάνεται εξ ορισμού. Το ιδιαίτερα ανησυχητικό στοιχείο είναι ότι η εκμετάλλευση δεν απαιτεί ειδικά δικαιώματα, ασυνήθιστες ρυθμίσεις ή πρόσβαση στο δίκτυο — αρκούν απλές κλήσεις threading από οποιοδήποτε τοπικό πρόγραμμα. Στις δοκιμές της Nebula Security, η διαδικασία απόκτησης root πρόσβασης διαρκεί μόλις πέντε δευτερόλεπτα.

Αν και δεν έχουν καταγραφεί ακόμα επιθέσεις στην πράξη, η δημοσίευση λειτουργικού κώδικα exploit από τη Nebula Security καθιστά την άμεση εφαρμογή των διαθέσιμων patches επιτακτική ανάγκη για κάθε διαχειριστή συστήματος.

Πώς λειτουργεί τεχνικά το GhostLock

Ο πυρήνας Linux διαθέτει ένα σύστημα προτεραιότητας που εμποδίζει επείγουσες εργασίες να μπλοκαριστούν από ασήμαντες. Το σύστημα αυτό περιλαμβάνει ένα βήμα καθαρισμού (cleanup) που εκτελείται μόλις μια εργασία σταματήσει να αναμένει. Σε μια σπάνια περίπτωση όπου μια λειτουργία κλειδώματος (lock operation) αποτυγχάνει και πρέπει να αναιρεθεί, ο καθαρισμός μπορεί να συμβεί τη λάθος στιγμή, με αποτέλεσμα να διαγραφεί η εγγραφή της λάθος εργασίας.

Αυτό το σφάλμα αφήνει τον πυρήνα με έναν «δείκτη» (pointer) που παραπέμπει σε τμήμα μνήμης που έχει ήδη απελευθερωθεί και επαναχρησιμοποιηθεί. Η εμπιστοσύνη σε αυτόν τον παρωχημένο δείκτη αποτελεί την ευπάθεια τύπου use-after-free. Η ομάδα της Nebula Security κατάφερε να εκμεταλλευτεί αυτό το μικρό σφάλμα για να αποκτήσει πλήρη έλεγχο, εξαπατώντας τον πυρήνα ώστε να εκτελέσει δικό τους κώδικα ως χρήστης root. Η ευπάθεια GhostLock βαθμολογείται με 7.8 στα 10 (υψηλή, όχι κρίσιμη), καθώς ο επιτιθέμενος πρέπει ήδη να έχει τοπική πρόσβαση στο σύστημα.

Η ανακάλυψη έγινε με τη βοήθεια του VEGA, ενός εργαλείου κυνηγιού σφαλμάτων που βασίζεται σε τεχνητή νοημοσύνη, το οποίο ανέπτυξε η Nebula Security. Το γεγονός αυτό υπογραμμίζει τον αυξανόμενο ρόλο της AI στην ανακάλυψη ευπαθειών που παρέμεναν αθέατες για χρόνια σε βαριά χρησιμοποιούμενο κώδικα.

GhostLock και η αλυσίδα IonStack: Κίνδυνος από browser έως root

Το GhostLock δεν είναι απλώς μια μεμονωμένη ευπάθεια — αποτελεί μέρος μιας αλυσίδας επίθεσης που η Nebula Security αποκαλεί IonStack. Το πρώτο κρίκο της αλυσίδας είναι το CVE-2026-10702, μια ευπάθεια στον Firefox που επιτρέπει εκτέλεση κώδικα μέσα στον browser και δραπέτευση από το sandbox του. Το GhostLock ολοκληρώνει την αλυσίδα επιτρέποντας κλιμάκωση δικαιωμάτων σε root.

Δείτε επίσης: CVE-2026-23111: Ένας χαρακτήρας στον Linux kernel επιτρέπει root πρόσβαση

Η Nebula Security έχει επιδείξει την πλήρη αλυσίδα IonStack εναντίον του Firefox σε Android — από ένα μόνο κλικ σε κακόβουλο σύνδεσμο έως πλήρη έλεγχο της συσκευής. Αυτό αναδεικνύει τη σημασία μιας «τοπικής μόνο» ευπάθειας πυρήνα: αν και από μόνη της απαιτεί τοπική πρόσβαση, σε συνδυασμό με ένα browser exploit μπορεί να οδηγήσει σε πλήρη απομακρυσμένη παραβίαση. Η εταιρεία σχεδιάζει να δημοσιεύσει πλήρη ανάλυση του exploit για Android.

Το GhostLock δεν είναι η μοναδική ευπάθεια κλιμάκωσης δικαιωμάτων που αποκαλύφθηκε φέτος. Λίγο νωρίτερα, ερευνητές αποκάλυψαν το Bad Epoll (CVE-2026-46242), που επίσης επιτρέπει σε μη προνομιούχο χρήστη να αποκτήσει root πρόσβαση και — ασυνήθιστα για αυτό τον τύπο ευπάθειας — λειτουργεί και σε Android. Επιπλέον, το Copy Fail (CVE-2026-31431) βρίσκεται ήδη στη λίστα της CISA με ευπάθειες που εκμεταλλεύονται σε πραγματικές επιθέσεις.

Πώς να προστατευτείτε από το GhostLock

Η ευπάθεια διορθώθηκε τον Απρίλιο με το patch 3bfdc63936dd, και οι διανομές Linux κυκλοφορούν ήδη τις ενημερώσεις. Ωστόσο, υπάρχει σημαντική λεπτομέρεια: η αρχική διόρθωση εισήγαγε ένα ξεχωριστό σφάλμα crash (CVE-2026-53166), και η τελική εκδοχή της επιδιόρθωσης ήταν ακόμα υπό οριστικοποίηση στις αρχές Ιουλίου. Συνεπώς, οι διαχειριστές πρέπει να εγκαταστήσουν τον τρέχοντα πυρήνα της διανομής τους και όχι απλώς την πρώτη έκδοση με patch.

Δεν υπάρχει πλήρης λύση παράκαμψης (workaround), καθώς οι λειτουργίες που ενεργοποιούν την ευπάθεια είναι ρουτίνα για κάθε τοπική διεργασία. Δύο επιλογές κατά τη μεταγλώττιση — RANDOMIZE_KSTACK_OFFSET και STATIC_USERMODE_HELPER — μπορούν να δυσκολέψουν την εκμετάλλευση, αλλά αποτελούν μετριασμούς και όχι διορθώσεις. Προτεραιότητα πρέπει να δοθεί σε κοινόχρηστα και multi-tenant συστήματα, συμπεριλαμβανομένων cloud servers, containers και CI runners, όπου ένας επιτιθέμενος έχει μεγαλύτερες πιθανότητες να αποκτήσει την αρχική τοπική πρόσβαση που απαιτεί η ευπάθεια.

Δείτε επίσης: Ευπάθεια 9 ετών στον Linux Kernel επιτρέπει root πρόσβαση

Το GhostLock αποτελεί υπενθύμιση ότι ακόμα και ο πιο ώριμος και δοκιμασμένος κώδικας μπορεί να κρύβει σοβαρές ευπάθειες για δεκαετίες. Η αυτοματοποιημένη ανάλυση με εργαλεία τεχνητής νοημοσύνης όπως το VEGA αλλάζει τους κανόνες του παιχνιδιού στην ανακάλυψη ευπαθειών, αλλά παράλληλα επιταχύνει και τον χρόνο που έχουν οι οργανισμοί για να αντιδράσουν. Η άμεση εφαρμογή των ενημερώσεων ασφαλείας παραμένει η μόνη αποτελεσματική άμυνα απέναντι στο GhostLock.