La protezione salta dove la verifica standard guarda nel posto sbagliato: non serve un bridge OVS già attivo né il daemon ovs-vswitchd in esecuzione. Se il datapath di Open vSwitch è disponibile e i unprivileged user namespaces sono consentiti, un utente locale ordinario può arrivare a root anche su sistemi che sembrano inattivi da un controllo superficiale.
La falla è CVE-2026-64531, nel datapath kernel di Open vSwitch, non nel componente userspace. Esiste un public PoC con copertura precompilata per circa 800 build del kernel, e i primi fix upstream sono in Linux 5.15.212, 6.1.178, 6.6.145, 6.12.97, 6.18.40 e 7.1.5; sulle distribuzioni conta comunque il backport del vendor, non solo il numero upstream.
Il rischio resta ampio perché il modulo può caricarsi automaticamente quando si risolve il nome Generic Netlink, quindi lsmod vuoto non basta a escludere l’esposizione. Per chi usa Linux con questa superficie disponibile, il punto non è un singolo servizio esposto, ma un percorso locale verso root che supera i controlli abituali sulla presenza di OVS.