Die Schwachstelle steckt in der Lebenszyklusverwaltung von Aktionen der Linux-Verkehrssteuerung. Bei gleichzeitigen RTM_NEWTFILTER- und RTM_DELTFILTER-Operationen kann laut Beschreibung ein Thread noch auf ein Aktionsobjekt zugreifen, nachdem ein anderer es bereits freigegeben hat. Der Upstream-Patch behebt diese Race-Bedingung, indem die Freigabe verschoben wird, bis laufende Read-Copy-Update-Leser abgeschlossen sind.
Laut Linux-CNA beginnt der verwundbare Bereich bei Linux 4.14. Behobene Versionen sind 5.10.259, 5.15.210, 6.1.176, 6.6.143, 6.12.94, 6.18.36 und 7.0.13; in den Mainline-Zweig floss die Korrektur mit 7.1-rc7 ein. Der Upstream-Fix wurde am 1. Juni 2026 übernommen und anschließend in mehrere stabile Kernel-Zweige zurückportiert. Nutzer sollten laut Bericht einen Distributionskernel mit eingespieltem Fix installieren und sich nicht allein an der Upstream-Versionsnummer orientieren.
Lee Jia Jie schrieb in einer technischen Analyse, KI habe bei der Schwachstellenfindung, bei der Erstellung eines Proof of Concept mit Kernel Address Sanitizer und bei der Optimierung des Race-Fensters geholfen. Gleichzeitig schränkte er ein, dass KI weiterhin viele blinde Flecken und Aussetzer im logischen Denken habe und menschliches Urteilsvermögen während der gesamten Arbeit notwendig geblieben sei. Ohne Angaben zum Modell, zu den Eingaben, zum Dienst oder zum Interaktionsverlauf lasse sich die Veröffentlichung allerdings kaum als Maßstab für die Fähigkeiten von KI-Systemen nutzen.
Technisch nutzt der Exploit eigene User- und Netzwerk-Namespaces, um namespace-lokales CAP_NET_ADMIN zu erhalten, ohne Administratorrechte auf dem Host zu benötigen. Der verwundbare Pfad wird über eine clsact-qdisc und einen flower-Filter erreicht. timerfd- und epoll-Operationen vergrößern das Race-Fenster, während gezielte Allokationen das freigegebene Objekt wieder belegen. Anschließend überschreibt die Return-Oriented-Programming-Kette core_pattern.
Danach legt der Exploit eine Kopie von sich selbst in einer memfd ab und bringt einen Kindprozess absichtlich zum Absturz. Dadurch startet Linux die in der memfd hinterlegte Binärdatei als Root-Core-Dump-Handler im initialen Namespace. Lee zufolge funktionierte der Exploit in allen zehn Testläufen auf einem Laptop mit CentOS Stream 9 und benötigte zwischen neun und 111 Sekunden. Diese Angaben zur Zuverlässigkeit wurden bislang nicht unabhängig reproduziert. Weil die verwendeten Gadget-Offets fest kodiert sind, muss der Exploit für andere Kernelpakete neu gebaut werden und lässt sich womöglich nicht auf manche neuere Builds anpassen.
Der Upstream-Patch nennt Kyle Zeng mit dem Handle KyleBot als Melder der Schwachstelle. Lee erklärte, er habe den Fehler unabhängig entdeckt und erst später erfahren, dass Zeng ihn kurz vor dem Wettbewerb TyphoonPwn 2026 gemeldet hatte. Lee veröffentlichte anschließend die technische Analyse und den Exploit-Code.
Der Paketstatus war laut den ausgewerteten Quellen am 28. Juli 2026 uneinheitlich: Debian führt für unterstützte Stable-Versionen behobene Kernel, Ubuntu markiert weiterhin mehrere gepflegte Kernelpakete als verwundbar, und SUSE listet das Problem bei mehreren Produkten noch als ausstehend. SUSE bewertet die Lücke separat mit 5,5 und damit niedriger als die 7,8 der Linux-CNA, da der dort verwendete Vektor nur Auswirkungen auf die Verfügbarkeit berücksichtigt. The Hacker News fand weder einen Eintrag in CISA-Katalog der bekannten ausgenutzten Schwachstellen noch einen offiziellen Bericht über Ausnutzung in freier Wildbahn.