CVE-2026-43499, שכונתה על ידי החוקרים GhostLock, היא חולשת Use-After-Free (שימוש בזיכרון לאחר ששוחרר) שהתחבאה בליבת לינוקס (Linux kernel) במשך כ-15 שנה, מאז 2011. כל משתמש מקומי רגיל, בלי הרשאות מיוחדות, יכול לנצל אותה כדי לקבל שליטה מלאה (root) על המכונה, ואף לפרוץ החוצה מקונטיינרים (Container: סביבת הרצה מבודדת) שרצים עליה.

סקירה כללית

החולשה יושבת בקוד ה-rt_mutex (מוטקס בזמן אמת, מנגנון סנכרון בין תהליכים) שמופעל דרך תת-מערכת ה-futex בליבת לינוקס, מנגנון נמוך-רמה שמשמש כמעט כל תוכנה שמריצה כמה תהליכונים (threads) שצריכים לתאם גישה למשאב משותף. הקוד הפגיע נכלל כברירת מחדל בכמעט כל הפצת לינוקס מרכזית, כך שהיקף החשיפה עצום. חוקרי חברת Nebula Security הפכו את החולשה לניצול עובד שמצליח ב-97% מהניסיונות ומסוגל גם לפרוץ מקונטיינרים למערכת המארחת. גוגל שילמה להם 92,337 דולר במסגרת תוכנית הפרסים kernelCTF.

מזהה: CVE-2026-43499
סוג: שימוש בזיכרון לאחר שחרורו (Use After Free, CWE-416)
מוצר: ליבת לינוקס (Linux kernel), תת-מערכת futex/rt_mutex
גרסאות מושפעות: טווח רחב מגרסה 2.6.39 ועד גרסאות 7.0.x שלפני העדכון (כמעט כל הפצה שיצאה מאז 2011)
גרסה מתוקנת: תוקן בגרסאות 6.6.144, 6.12.95, 6.18.33, 7.0.10 ומעלה
ניצול בפועל: לא ברשימת ה-KEV של CISA נכון לכתיבה, אך קיים קוד ניצול פומבי ואמין שפורסם על ידי החוקרים

ציר זמן

18 באפריל 2026: Nebula Security מדווחים על החולשה לצוות האבטחה של ליבת לינוקס, יחד עם הצעת תיקון, ותיקון חלופי ממוזג יומיים לאחר מכן.
תחילת מאי 2026: עדכוני הליבה היציבה (stable) מתחילים להגיע להפצות השונות.
30 ביוני 2026: גוגל מאשרת רשמית את זכייתם של Nebula Security בתוכנית kernelCTF.
8 ביולי 2026: החוקרים מפרסמים כתיבה טכנית מלאה וקוד ניצול, כחלק משרשרת גילוי מתואמת (Coordinated Disclosure) שמכונה IonStack.

איך הניצול עובד

במקרים מסוימים של 'גלגול לאחור' (rollback) בנעילת proxy-lock, הקוד הפגיע ממשיך להתייחס לאובייקט זיכרון ששוחרר כבר בעץ הנתונים הפנימי (rbtree) של הליבה. משתמש מקומי רגיל יכול לעורר את התנאי הזה במכוון, לתפוס את הזיכרון המשוחרר בעצמו, ולמלא אותו בתוכן שהוא שולט בו, טכניקה שמאפשרת כתיבה שרירותית לזיכרון הליבה ומשם עלייה מלאה להרשאות root. מכיוון שהאובייקט הפגיע משותף ברמת הליבה, אותה טכניקה מאפשרת גם לצאת מהבידוד של קונטיינר אל המערכת המארחת.

ניתוח ציון ה-CVSS

ציון CVSS: 7.8

הפגיעה הסופית מלאה, שליטת root על המכונה, אבל הציון נעצר ברמת High ולא Critical מפני שהניצול דורש גישה מקומית מלכתחילה: משתמש שכבר מחובר למכונה, לא תוקף מרחוק. זו בדיוק הדוגמה שממחישה איך גישה מקומית לבדה מורידה חולשה חמורה מרמת 'קריטי'.

איפה למצוא Proof of Concept (PoC)

החוקרים מ-Nebula Security פרסמו כתיבה טכנית מלאה עם קוד ניצול פומבי, שמצליח ב-97% מהניסיונות, כחלק מסדרת IonStack. הפרטים נמצאים במחקר של Nebula Security.

חמש עשרה שנה הוא פרק זמן ארוך לבאג שיושב בשקט בליבת מערכת ההפעלה הנפוצה בעולם, ותזכורת לכך שגם קוד ותיק ויציב לכאורה יכול להסתיר חולשה בהיקף עצום.