Bad Epoll: Linux Kernel-Sicherheitslücke gibt jedem lokalen Benutzer Root Access, Exploit ist 99% zuverlässig

Eine schwerwiegende Linux-Kernel-Sicherheitslücke namens Bad Epoll (CVE-2026-46242) ermöglicht einem normalen lokalen Benutzer – ohne besondere Berechtigungen – die vollständige Root-Kontrolle über einen Rechner. Ein öffentlicher Exploit erreicht eine Zuverlässigkeit von rund 99 % auf getesteten Zielen, was ihn zu einer der praktischsten lokal genutzten Privilegienausweitungs-Schwachstellen macht, die seit Jahren offengelegt wurden.

Wie der Exploit funktioniert

Bad Epoll ist ein Use-after-Free-Fehler im epoll-Subsystem des Kernels, genauer gesagt innerhalb der Funktion ep_remove(). Die Schwachstelle nutzt eine Race Condition aus: Wenn eine Datei geschlossen wird und zwei Teile des Kernels gleichzeitig versuchen, dasselbe interne eventpoll-Objekt zu bereinigen, gibt ein Pfad den Speicher frei, während der andere noch hineinschreibt. Diese enge Kollision korrumpiert den Kernel-Speicher und schafft den Ansatzpunkt, den ein Angreifer benötigt, um von einem unprivilegierten Konto zu Root zu gelangen.

Das Race-Fenster umfasst nur etwa sechs Instruktionen – so eng, dass die meisten automatisierten Prüfwerkzeuge, einschließlich KI-gestützter Code-Analyse, es nicht erkennen konnten. Der Sicherheitsforscher Jaeyoung Chung, der den Fehler während der Arbeit im Google kernelCTF-Programm entdeckte, wies darauf hin, dass ein verwandter Fehler im selben 2500-zeiligen epoll-Codepfad (CVE-2026-43074) zuvor von Anthropics Mythos AI-Modell gefunden worden war. Bad Epoll war der zweite, subtilere Fehler, den Mythos übersehen hatte.

Was gefährdet ist

Jedes System, das Linux-Kernel v6.4 oder neuer ausführt, ist betroffen – das umfasst die überwältigende Mehrheit moderner Linux-Server und -Desktops sowie Android-Geräte. Forscher bestätigten außerdem, dass die Schwachstelle aus der Chrome-Renderer-Sandbox heraus erreichbar ist, was bedeutet, dass ein kompromittierter Browser-Tab möglicherweise als Sprungbrett für eine vollständige Systemkompromittierung genutzt werden kann.

Da die Schwachstelle nur lokalen Zugriff erfordert – keine Remote-Codeausführung – sind die unmittelbarsten Bedrohungen Insider-Angriffe, Shared-Hosting-Umgebungen und Container-Escapes, bei denen ein Benutzer bereits einen Fuß im System hat.

Patch-Status: Verfügbar, aber nicht weit verbreitet

Ein Upstream-Linux-Kernel-Fix wurde am 24. April in den Hauptentwicklungszweig aufgenommen, nachdem ein erster Patch-Versuch sich als unvollständig erwiesen hatte. Trotzdem hatten die meisten Linux-Distributionen – darunter viele Enterprise-Linux-Varianten – den zurückportierten Fix zum Zeitpunkt dieser Berichterstattung noch nicht ausgeliefert. Administratoren sollten die Sicherheitshinweise ihrer Distribution prüfen und verfügbare Kernel-Updates sofort einspielen. Es gibt keine Konfigurationsumgehung, da epoll nicht deaktiviert werden kann.

Android-Hersteller werden den Fix voraussichtlich in den kommenden monatlichen Sicherheitsbulletins enthalten, aber die Verteilung des Updates wird je nach Gerät und Hersteller variieren.

Was zu tun ist

Systemadministratoren sollten das Einspielen von Kernel-Updates aus den Sicherheitskanälen ihrer Distribution priorisieren. Organisationen, die gemeinsame Recheninfrastruktur betreiben – Cloud-VMs, Container, verwaltete Linux-Umgebungen – sind dem höchsten unmittelbaren Risiko ausgesetzt. Bis der Patch abgeschlossen ist, reduziert die Einschränkung des Shell-Zugriffs auf vertrauenswürdige Benutzer die Angriffsfläche erheblich.

Der Exploit ist jetzt öffentlich, was jede Gnadenfrist aufhebt. Dies ist kein theoretisches Risiko.

Die Schwachstelle wurde zuerst von CyberSecurityNews gemeldet und von The Hacker News bestätigt.