ליבת לינוקס מכילה באג במנגנון שמגביל כמה משאבים כל תהליך יכול לצרוך. תוקף שכבר הצליח להריץ קוד על המכונה, למשל בתוך קונטיינר, יכול לנצל אותו כדי לחרוג מההפרדה שאמורה לכלוא אותו ולהגיע להרשאות root על המארח. הרשומה פורסמה כבר במרץ 2022, וב-2 ביוני 2026 היא נוספה לקטלוג החולשות שמנוצלות בפועל.
מה החולשה?
cgroups, קיצור של control groups, הוא המנגנון שבו לינוקס מחליט כמה זיכרון, מעבד ורוחב פס כל קבוצת תהליכים מקבלת. זה גם אחד המנגנונים שעליהם בנויים קונטיינרים: מה שגורם לתהליך בתוך קונטיינר להרגיש שהוא לבד על המכונה אינו חומרה נפרדת אלא הגדרות ליבה.
לגרסה הראשונה של cgroups יש תכונה בשם release_agent. הרעיון פשוט: כשקבוצת תהליכים מתרוקנת, הליבה מריצה תוכנית שהוגדרה מראש כדי לנקות אחריה. התוכנית הזאת רצה עם ההרשאות הגבוהות ביותר שיש, כי הליבה עצמה היא זו שמפעילה אותה.
הבאג נמצא בקוד שכותב את ההגדרה הזאת, cgroup_release_agent_write בקובץ kernel/cgroup/cgroup-v1.c. בתנאים מסוימים הוא אינו בודק כראוי שמי שמבקש להגדיר את התוכנית באמת רשאי לעשות זאת. תוקף שמצליח לכתוב לשם מצביע על קובץ משלו, ממתין שהקבוצה תתרוקן, והליבה מריצה את הקובץ שלו במקום את תוכנית הניקוי. לכשל מהסוג הזה קוראים אימות לקוי.
התוצאה היא שתי חומות שנופלות יחד: ההפרדה בין הקונטיינר למארח, וההפרדה בין משתמש רגיל ל-root. אחת מהרשומות המקושרות במידע הטכני למטה מציגה בדיוק את התרחיש הזה, תחת הכותרת Docker cgroups Container Escape.
מי מושפע?
החולשה נמצאת בליבת לינוקס לאורך טווח ארוך במיוחד, מגרסה 2.6.24 ואילך. הגרסאות שסוגרות אותה הן 4.9.301, 4.14.266, 4.19.229, 5.4.177, 5.10.97, 5.15.20 ו-5.16.6, כל אחת בענף שלה, וגם גרסה 5.17 מופיעה ברשימת המושפעות. לצדן מופיעות הפצות שמביאות את הליבה ארוזה: Ubuntu, Debian בגרסאות 9 ו-10, וענפי Red Hat Enterprise Linux ו-CodeReady Linux Builder.
בישראל זה נוגע כמעט לכל ארגון שמריץ שרתים, כי כמעט כל שרת לינוקס בייצור מריץ היום קונטיינרים בצורה זו או אחרת. שימו לב לפרט אחד בווקטור: הגישה היא מקומית ודורשת הרשאות התחלתיות כלשהן. כלומר זו אינה חולשה שתוקף מנצל מהאינטרנט על שרת סגור, אלא כזאת שהופכת דריסת רגל קטנה, קונטיינר שנפרץ או חשבון משתמש בודד, לשליטה מלאה על המכונה.
זה בדיוק סוג החולשה ששרשראות תקיפה בנויות עליו.
האם מנוצלת בפועל?
כן. ב-2 ביוני 2026 נוספה החולשה לקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, רשימת החולשות שידוע שתוקפים משתמשים בהן בפועל, עם מועד תיקון לגופים הפדרליים ב-5 באותו חודש. שלושה ימים, חלון קצר במיוחד גם לפי אמות המידה של הקטלוג.
שווה לשים לב לפער התאריכים. הרשומה פורסמה במרץ 2022, והכניסה לקטלוג היא מ-2026. חולשה בת ארבע שנים שנכנסת לרשימה עכשיו מעידה בדרך כלל על שימוש חדש שנמצא לה, ולא על גילוי חדש. השרתים שלא עודכנו מאז 2022 הם היעד.
מה עושים?
עדכנו את הליבה. הגרסה שאתם צריכים תלויה בענף שאתם מריצים: 4.9.301, 4.14.266, 4.19.229, 5.4.177, 5.10.97, 5.15.20 או 5.16.6. בדקו מה מותקן אצלכם עם הפקודה uname -r, והשוו לענף המתאים.
אם אתם על הפצה, אל תרדפו אחרי מספרי הליבה המקוריים. Ubuntu, Debian ו-Red Hat מגלגלים את התיקון אחורה לגרסאות שלהם, כך שהעדכון הרגיל של המערכת הוא מה שסוגר את זה. אחרי העדכון נדרשת הפעלה מחדש כדי שהליבה החדשה תיטען בפועל, ובלעדיה המערכת ממשיכה לרוץ על הליבה הפגיעה.
הרשומה אינה מפרטת באילו תנאים בדיוק הניצול אפשרי, ולכן אין כאן הקלה חלופית שאפשר להמליץ עליה בביטחון. מה שכן, מדובר בחולשה מקומית: ככל שפחות גורמים יכולים להריץ קוד על המכונה מלכתחילה, כך קטן הסיכוי שמישהו יגיע לנקודה שממנה אפשר לנצל אותה.
אם אתם רוצים לראות מה בדיוק השתנה, התיקון עצמו זמין לקריאה בcommit בעץ הליבה.