Il package non basta: l’exploit locale dipende dai knob del kernel
La presenza del pacchetto vulnerabile non basta a dire se il rischio è reale. Qui il punto è un altro: il passaggio a root locale esiste solo dove il kernel espone namespace non privilegiati e le opzioni di traffic-control giuste, quindi la triage basata sulla sola versione può sottostimare l’esposizione.
STAR Labs ha pubblicato exploit code funzionante per CVE-2026-53264, un use-after-free nel sottosistema traffic-control del kernel Linux che colpisce CentOS Stream 9. La falla riguarda una race tra operazioni concorrenti che lascia un thread a usare un oggetto già liberato; il fix upstream è arrivato il 1° giugno 2026 e sono disponibili release corrette nelle linee 5.10.259, 5.15.210, 6.1.176, 6.6.143, 6.12.94, 6.18.36 e 7.0.13, con backport del vendor da preferire al numero di versione upstream.
Su host Linux usati come container host, o su fleet che abilitano user namespaces non privilegiati, questa è una superficie di local escalation concreta: contano la configurazione runtime e i backport del kernel, non solo il pacchetto installato.