CVE-2026-23111 ist ein Use-after-free-Fehler im nf_tables-Paketfiltercode des Linux-Kernels. Laut Quelltext geht die Ursache auf ein einzelnes fehlplatziertes Zeichen zurück: eine invertierte Prüfung in nf_tables. Der Upstream-Fix entfernte diesen Fehler in einer einzigen Codezeile. Ubuntu bewertet die Schwachstelle mit CVSS 7.8 als hoch.
Exodus-Researcher Oliver Sieber entdeckte den Fehler Anfang 2025 und verband ihn zu einem vollständigen lokalen Root-Exploit. Nach der Beschreibung von Exodus löst der Exploit zunächst den Use-after-free aus, umgeht anschließend eingebaute Speicherschutzmechanismen des Kernels und übernimmt dann die Ausführung, um sich Root-Rechte zu verschaffen und den Container-Namespace zu verlassen. Sieber demonstrierte das auf Debian Bookworm, Debian Trixie, Ubuntu 22.04 LTS und Ubuntu 24.04 LTS.
Exodus Intelligence veröffentlichte seine vollständige technische Anleitung am 8. Juni. Es war allerdings nicht der erste öffentliche Exploit: FuzzingLabs hatte bereits im April eine unabhängige Reproduktion veröffentlicht. Das Unternehmen reproduzierte den Fehler auf RHEL 10 im Vorfeld von Pwn2Own Berlin 2026 und entwickelte über einen anderen Weg ebenfalls einen Root-Exploit. Damit ist die Technik inzwischen für Debian, Ubuntu und Red Hat öffentlich dokumentiert.
Angreifbar sind Systeme, auf denen sowohl nf_tables als auch unprivilegierte User-Namespaces erreichbar sind. Diese Linux-Funktion erlaubt es einem normalen Benutzerkonto, innerhalb einer privaten Sandbox als Root zu agieren und dadurch Kernel-Code zu erreichen, der sonst nicht zugänglich wäre. Weil sich der Fehler im Mainline-Kernel befindet, sind laut Quelltext grundsätzlich alle Distributionen betroffen, die einen verwundbaren Kernel mit beiden aktivierten Funktionen ausgeliefert haben — sofern nicht zusätzliche Härtung oder Namespace-Beschränkungen den Angriffsweg blockieren.
Einen Remote-Vektor gibt es nicht. Die Schwachstelle ist nur lokal ausnutzbar und setzt unprivilegierte User-Namespaces voraus. Der Quelltext empfiehlt deshalb, Systeme mit nicht vertrauenswürdigen Benutzern oder Workloads vorrangig zu betrachten, wenn diese solche Namespaces erzeugen dürfen.
Bei den Distributionen gibt es bereits Korrekturen. Ubuntu stellt laut Quelltext Updates für 22.04, 24.04 und 25.10 bereit. Debian hat Bookworm und Trixie abgesichert und liefert für Bullseye LTS einen Backport auf Basis von Kernel 6.1. Red Hat, SUSE und Amazon Linux verfolgen die Schwachstelle ebenfalls; maßgeblich ist jeweils der Sicherheitshinweis der eigenen Distribution, weil die genaue gefixte Kernel-Version variiert.
Der Fall reiht sich in eine Serie jüngster Veröffentlichungen zu lokalen Linux-Root-Lücken ein. Im Quelltext werden Copy Fail, die Dirty-Frag-Kette, deren Variante Fragnesia, DirtyDecrypt sowie ein neun Jahre alter ptrace-Fehler genannt, der /etc/shadow ausliest und Befehle als Root ausführt. Synacktiv verknüpft das Tempo dieser Veröffentlichungen in einer aktuellen Betrachtung mit KI-gestützter Forschung und Patch-Diffing, durch die funktionierende Exploits öffentlich werden, bevor sich Patches flächendeckend verbreiten.
Öffentliche Berichte über eine Ausnutzung von CVE-2026-23111 in freier Wildbahn gibt es bislang nicht. Der Patch steht seit Februar bereit, öffentlicher Exploit-Code seit April.