Código de exploit GhostLock é divulgado para bug de root no Linux que perdurou por 15 anos

Pesquisadores da Nebula Security publicaram um artigo técnico completo e o código funcional do exploit para o GhostLock (CVE-2026-43499), uma vulnerabilidade de use-after-free no kernel Linux que existe em todas as principais distribuições desde 2011. O exploit alcança escalonamento de privilégios para root com 97% de estabilidade e também pode ser usado para escape de containers, tornando-se um dos exploits locais de escalonamento de privilégios mais confiáveis dos últimos tempos.

Um descuido de 15 anos no código de locking do kernel

O GhostLock reside em kernel/locking/rtmutex.c, especificamente na função remove_waiter() que lida com herança de prioridade de mutex em tempo real (rtmutex). O bug foi introduzido no Linux 2.6.39 em um commit de 2011 e permaneceu sem correção por aproximadamente 15 anos, até abril de 2026.

A falha decorre de um manuseio sutilmente incorreto de ponteiros de tarefa durante operações de futex com herança de prioridade (PI). Quando uma thread é removida de uma lista de waiters, a função limpa incorretamente o campo pi_blocked_on da tarefa chamadora, em vez da tarefa correta que está sendo removida. Um atacante sem privilégios pode acionar essa condição usando apenas chamadas de sistema padrão de threading, obtendo um ponteiro de kernel pendente para a memória da pilha.

A partir daí, a cadeia de ataque permite escrever um ponteiro para praticamente qualquer endereço do kernel e sequestrar uma tabela de funções para obter controle total do fluxo, resultando em um shell root. O exploit requer que CONFIG_FUTEX_PI esteja habilitado — o que é a configuração padrão em praticamente todas as distribuições Linux.

Premiado com US$ 92.337 no kernelCTF do Google

A Nebula Security demonstrou o GhostLock pela primeira vez no kernelCTF do Google, onde recebeu uma recompensa de US$ 92.337 pelo exploit funcional. O artigo da Parte 2 da equipe, publicado em 7 de julho, fornece um roteiro completo de exploração, incluindo as técnicas de heap-layout usadas para alcançar a taxa de sucesso de 97% nas versões do kernel de 2.6.39 a 7.1-rc1.

Conforme relatado pela Nebula Security, o intervalo vulnerável abrange a grande maioria dos kernels fornecidos pelas principais distribuições nos últimos 15 anos. Qualquer sistema executando um kernel desse intervalo sem o conjunto de patches de abril de 2026 ainda é explorável por um usuário local.

Patch disponível — mas muitos sistemas permanecem desprotegidos

Os mantenedores do kernel Linux enviaram a correção em abril de 2026 por meio de commits para a árvore estável, e as principais distribuições incluíram o patch em suas atualizações mais recentes de kernel LTS. No entanto, com o código do exploit agora disponível publicamente, qualquer sistema não corrigido executando Linux onde um usuário não confiável possa fazer login localmente corre sério risco.

Ambientes de containers merecem atenção especial: um breakout de container via GhostLock dá ao atacante root no host subjacente, ignorando todo o isolamento do container. Provedores de nuvem que operam ambientes multitenant compartilhados em kernels não corrigidos devem tratar isso como uma issue P0.

O que fazer agora

Administradores de sistema devem verificar imediatamente a versão do kernel e atualizar para o lançamento LTS mais recente da distribuição, caso ainda não o tenham feito. A correção está na árvore estável do kernel e foi backportada para todos os branches LTS suportados. Distribuições como Ubuntu, Debian, Fedora, Red Hat Enterprise Linux e Alpine já lançaram pacotes atualizados.

Executar uname -r e comparar com a versão do kernel corrigida pela sua distribuição é a maneira mais rápida de verificar a exposição. Até que a correção seja concluída, é aconselhável restringir o acesso de usuários locais e auditar logs em busca de tentativas incomuns de escalonamento de privilégios.