Linux e FreeBSD sotto attacco: 14 falle permettono di diventare amministratori del sistema

Linux e FreeBSD sono interessati da 14 vulnerabilità di sicurezza che possono consentire l'escalation dei privilegi, la fuga dai container e attacchi alle macchine virtuali. Per alcune falle Linux esistono già exploit funzionanti. Diverse vulnerabilità sono state divulgate prima delle patch, mentre altri problemi risultano già corretti.

14 vulnerabilità in Linux e FreeBSD hanno aperto la strada all’ottenimento dei privilegi root, alla fuga dai container e agli attacchi alle macchine virtuali. Per alcune delle errori sono già disponibili exploit funzionanti, e alcuni problemi sono stati resi pubblici prima che gli sviluppatori potessero rilasciare le correzioni.

Nel kernel Linux sono state rilevate diverse vulnerabilità pericolose, cinque delle quali sono state prematuramente divulgate come Zero Day. La causa è stata l’invio di informazioni alla lista di distribuzione sbagliata. Due problemi, ZDI-CAN-33549 e ZDI-CAN-33774, riguardano il server di file integrato ksmbd e permettono l’esecuzione remota di codice a livello di kernel in determinate condizioni. Per entrambi sono già stati preparati exploit per Debian 13.

La prima vulnerabilità è legata alla sovrapposizione di interi durante il funzionamento di SMB Direct tramite RDMA e richiede l’accesso in scrittura all’archiviazione condivisa. La seconda si verifica a causa di una race condition, quando 62 byte dell’intestazione SMB2 finiscono in un buffer di 40 byte. In precedenza, le vulnerabilità di ksmbd avevano già permesso agli attaccanti di ottenere privilegi massimi tramite il servizio di file di rete.

Altre tre problematiche segnalate da ZDI riguardano altri componenti di Linux. ZDI-CAN-33367 permette a un utente locale di ottenere i privilegi root tramite un errore in skb_zerocopy(). ZDI-CAN-34068 è legata al sovrapposizione di buffer nel driver grafico VMware VMWGFX. Per entrambe sono stati pubblicati prototipi di attacco. La quinta vulnerabilità, ZDI-CAN-34076, è stata rilevata nel driver nvmet e può rivelare il contenuto della memoria del kernel.

Separatamente, i ricercatori hanno presentato cinque vulnerabilità con il nome collettivo Infinity Core. Le vulnerabilità CVE-2026-98260, CVE-2026-98256, CVE-2026-89754, CVE-2026-80775 e CVE-2026-98385 permettono di elevare i privilegi e di aggirare l’isolamento dei container. Gli exploit sono stati testati su Ubuntu, Arch Linux e persino su uno smartphone Android Samsung Galaxy S26 Ultra. Nei kernel aggiornati, le vulnerabilità sono già state corrette.

Inoltre, è stata resa pubblica la vulnerabilità Vghost, CVE-2026-74580, nella sottosistema vhost. A causa di voci obsolete nella cache degli indirizzi di memoria, un attaccante può ottenere i privilegi root e, in alcune configurazioni di virtualizzazione, influenzare il kernel del sistema host. Il problema esisteva a partire da Linux 4.11. L’exploit pubblicato è stato testato su Ubuntu, RHEL, Amazon Linux, Azure Linux e Oracle Linux.

In FreeBSD, quattro vulnerabilità riguardano il driver audio e l’ipervisore Bhyve. La vulnerabilità CVE-2026-101308 permette di elevare localmente i privilegi, mentre tre problemi di Bhyve, CVE-2026-101309, CVE-2026-101310 e CVE-2026-101311, creano il rischio di uscita dai confini del sistema ospite. Secondo il bollettino di FreeBSD, il codice dannoso all’interno di una macchina virtuale potrebbe potenzialmente essere eseguito nel contesto utente dell’host, tenendo conto delle limitazioni di Capsicum.

Le correzioni di FreeBSD sono state incluse nelle versioni 15.1-RELEASE-p5, 14.5-RELEASE-p2 e 14.4-RELEASE-p11. Una vulnerabilità separata CVE-2026-101307 in tcp_rack permette il sovrapposizione remoto di buffer e l’arresto del kernel. Gli amministratori di Linux dovrebbero anche verificare gli aggiornamenti e l’accesso ai componenti vulnerabili. In precedenza, per la protezione da problemi simili, era stato proposto il meccanismo Killswitch, che permette di disattivare temporaneamente singole funzioni del kernel.

Luigi Zullo

Ricercatore di sicurezza informatica con esperienza nell’analisi delle vulnerabilità, nella mitigazione del rischio cyber, nelle attività di red teaming ed ethical hacking e nella protezione di sistemi complessi. Specializzato in penetration testing e Threat Intelligence, contribuisce al rafforzamento della resilienza digitale di infrastrutture e reti aziendali.

Aree di competenza: Penetration Testing, Threat Intelligence, Red Teaming, Vulnerability Assessment, Incident Response