Die Ursache des Fehlers liegt nach einer Untersuchung des Red Teams der Deutschen Telekom in dem Mechanismus, mit dem PackageKit Anfragen zur Paketverwaltung verarbeitet. Konkret stellten die Forscher fest, dass Befehle wie „pkcon install" auf einem Fedora-System unter bestimmten Bedingungen ohne Authentifizierung ausgeführt werden konnten, sodass sich ein Systempaket installieren ließ.
Um auszuloten, wie sich dieses Verhalten ausnutzen lässt, setzte das Team das KI-Werkzeug Claude Opus ein und stieß dabei auf CVE-2026-41651. Die Erkenntnisse meldete das Red Team der Deutschen Telekom am 8. April an Red Hat und die PackageKit-Maintainer.
Nach Einschätzung der Forscher ist davon auszugehen, dass alle Distributionen verwundbar sind, die PackageKit vorinstalliert und standardmäßig aktiviert mitliefern. In Tests bestätigten die Forscher die Ausnutzbarkeit auf mehreren Linux-Distributionen; die Liste ist jedoch nicht vollständig. Jede Distribution, die PackageKit verwendet, sollte als potenziell angreifbar behandelt werden.
Ob die Schwachstelle bereits aktiv ausgenutzt wird, ist nicht bekannt. Die Forscher weisen allerdings darauf hin, dass es deutliche Hinweise auf eine Kompromittierung gibt: Eine Ausnutzung führt dazu, dass der PackageKit-Daemon auf einen Assertion-Fehler läuft und abstürzt. Selbst wenn systemd den Dienst wiederherstellt, bleibt der Absturz in den Systemprotokollen sichtbar.
Ob eine verwundbare Version installiert ist, lässt sich über die Paketverwaltung prüfen, etwa mit „dpkg -l | grep -i packagekit" oder „rpm -qa | grep -i packagekit". Ob der Daemon läuft und das System damit ungepatcht gefährdet ist, zeigen „systemctl status packagekit" oder „pkmon".