Nel kernel Linux è emersa una nuova falla di sicurezza ad alto rischio chiamata Bad Epoll, classificata come CVE-2026-46242 e valutata con punteggio CVSS 7.8. Il problema interessa il sottosistema epoll del kernel e può consentire a un attaccante locale di passare da utente normale a root, ottenendo il controllo completo del sistema.
La vulnerabilità coinvolge i sistemi basati su Linux 6.4 e versioni successive, inclusi desktop, server e anche Android. La correzione è già stata integrata nel ramo principale del kernel, ma la protezione effettiva dipende dalla distribuzione o dal produttore del dispositivo e dall’arrivo degli aggiornamenti di sicurezza.
Bad Epoll colpisce Linux 6.4 e successivi con un’escalation locale a root
Bad Epoll nasce da una race condition nel sottosistema epoll che porta a una vulnerabilità di tipo use-after-free. In pratica, un processo con permessi normali può sfruttare il difetto per ottenere privilegi root. È un dettaglio tecnico importante perché non si parla di semplice crash o instabilità, ma di una falla che può aprire la strada al pieno controllo della macchina.
Il bug è stato individuato nella prima metà dell’anno dal ricercatore Jaeyoung Chung del laboratorio di sicurezza informatica dell’Università Nazionale di Seul. Il difetto è stato introdotto a partire da Linux 6.4, quindi i sistemi che restano su Linux 6.1 non risultano coinvolti da questo specifico problema.
- Identificativo vulnerabilità: CVE-2026-46242.
- Gravità: CVSS 7.8, classificazione ad alto rischio.
- Tipo di attacco: escalation di privilegi locale.
- Effetto potenziale: passaggio da utente standard a root con controllo completo del sistema.
- Versioni coinvolte: kernel Linux 6.4 o superiori non ancora corretti o senza backport della patch.
Anche Android è coinvolto e i dispositivi con kernel più recenti sono i più esposti
La vulnerabilità non si ferma al mondo desktop o server: interessa anche Android, dove il rischio è particolarmente concreto. Un test di tipo proof of concept ha mostrato che un Pixel 10 basato su kernel Linux 6.6 o superiore può essere colpito, mentre un Pixel 8 con kernel 6.1 non risulta vulnerabile a questo difetto specifico.
Il motivo per cui Bad Epoll viene considerata pericolosa su Android è semplice: molte falle del kernel richiedono moduli specifici che sui dispositivi Android non sono caricati per impostazione predefinita, quindi restano poco sfruttabili. In questo caso, invece, epoll è un meccanismo centrale del kernel e la superficie di attacco risulta più realistica.
- Coinvolti anche gli smartphone Android basati su kernel Linux recenti.
- PoC riuscita su Pixel 10 con kernel 6.6 o superiore.
- Non vulnerabile in questo caso Pixel 8 con kernel 6.1.
- Il rischio è più alto perché epoll è una parte fondamentale del kernel e non un modulo opzionale.
L’unica difesa concreta è aggiornare subito il kernel corretto
Non ci sono contromisure temporanee davvero efficaci perché epoll è un componente di base del kernel Linux e non può essere semplicemente disattivato. Questo rende la gestione della falla molto diretta: se il sistema usa una versione vulnerabile, la protezione reale arriva solo con un kernel aggiornato che includa la patch.
Le distribuzioni principali, tra cui Red Hat, SUSE, Debian, Ubuntu e Amazon Linux, hanno già diffuso avvisi di sicurezza con i dettagli sulle versioni colpite e sulle correzioni disponibili. Per chi gestisce PC, server o dispositivi Android, il dato più importante è verificare rapidamente la versione del kernel in uso e installare gli aggiornamenti appena disponibili.
- Non esiste una mitigazione temporanea semplice e affidabile.
- La sola protezione concreta è l’aggiornamento del kernel con la patch correttiva.
- Distribuzioni già attive con advisory: Red Hat, SUSE, Debian, Ubuntu e Amazon Linux.
- I sistemi rimasti su Linux 6.1 non risultano colpiti da questa vulnerabilità specifica.
