Il kernel Linux diventa una via di fuga dal container
Un bug nel kernel non resta più un dettaglio da patchare: con exploit pubblico e una catena già capace di uscire dal container, un utente locale senza privilegi può arrivare al root dell’host. La rottura è nell’isolamento su cui si reggono container e sandbox: se il kernel vulnerabile è condiviso, il confine non tiene.
Nebula ha pubblicato GhostLock, CVE-2026-43499, un use-after-free nel codice futex di Linux presente dal 2011. Il team dice di averlo reso affidabile al 97% nei test, con impatto su quasi tutte le distro principali e anche su Mozilla Firefox su Android; non serve accesso di rete né permessi speciali, basta un processo locale.
Il rischio ora non è teorico né limitato al punteggio CVSS: la disponibilità di codice funzionante trasforma una falla storica in un percorso pubblico di compromissione dell’host. Su sistemi con kernel non aggiornato, il perimetro da considerare compromesso non è il singolo processo, ma l’intera macchina e ogni isolamento che dipende da quel kernel.