En allvarlig sårbarhet i Linux-kärnans brandväggskod kan låta en vanlig lokal användare få root-rättigheter och i vissa fall bryta sig ut ur en container. Felet, CVE-2026-23111, är redan rättat i Linux-kärnan, men fungerande exploitkod finns nu offentligt dokumenterad. Administratörer bör därför uppdatera kernelpaketen och starta om berörda system snarast.
Säkerhetsforskare har publicerat en detaljerad och fungerande exploit för en allvarlig sårbarhet i Linux-kärnan. Felet gör det möjligt för en lokal användare utan administratörsrättigheter att höja sina behörigheter till root och i vissa fall bryta sig ut ur en container.
Sårbarheten har fått beteckningen CVE-2026-23111 och finns i kärnans kod för nf_tables, den moderna delen av Linux brandväggssystem som används av nftables. Felet är en så kallad use-after-free, där minne används efter att det redan har frigjorts. Den typen av buggar kan i värsta fall utnyttjas för att ta kontroll över körningen i kärnan.
Problemet åtgärdades i Linux-kärnans huvudkod den 5 februari 2026. Trots det har säkerhetsforskare nu publicerat tekniska genomgångar som visar exakt hur sårbarheten kan utnyttjas. Exodus Intelligence publicerade sin detaljerade analys den 8 juni 2026, men redan i april släppte FuzzingLabs en egen reproduktion av felet.
Enligt beskrivningarna berodde sårbarheten på ett mycket litet programmeringsfel: en felvänd kontroll i nf_tables. Den färdiga korrigeringen i upstream-kärnan bestod i praktiken av en enda rad kod.
Ubuntu klassar sårbarheten som CVSS 7.8, vilket motsvarar hög allvarlighetsgrad.
Kräver lokal åtkomst
Sårbarheten kan inte utnyttjas direkt över nätet. En angripare måste redan ha någon form av lokal åtkomst till systemet, till exempel genom ett kapat användarkonto, ett sårbart programkonto eller en komprometterad container.
Det som gör buggen särskilt farlig är kombinationen av nf_tables och unprivileged user namespaces. User namespaces är en Linux-funktion som gör att en vanlig användare kan agera som root inne i en isolerad miljö. Funktionen används bland annat av containers och sandbox-lösningar, men har också återkommande varit en väg in till känslig kärnkod.
På många Linux-installationer, särskilt skrivbordssystem och vissa servermiljöer, är den här kombinationen aktiverad som standard.
Fungerande root-exploits finns publicerade
Exodus-forskaren Oliver Sieber, som hittade buggen redan i början av 2025, har visat hur sårbarheten kan kedjas till full lokal root-åtkomst. Exploiten utlöser use-after-free-felet, tar sig förbi flera av Linux-kärnans inbyggda minnesskydd och kapar därefter körningen för att ge angriparen root-rättigheter.
Exploiten demonstrerades på bland annat:
- Debian Bookworm
- Debian Trixie
- Ubuntu 22.04 LTS
- Ubuntu 24.04 LTS
FuzzingLabs har dessutom reproducerat buggen på RHEL 10 inför Pwn2Own Berlin 2026 och byggt en egen root-exploit med en annan teknisk metod.
Det innebär att tekniken nu är dokumenterad för flera av de största Linux-familjerna: Debian, Ubuntu och Red Hat-baserade system.
Alla sårbara kärnor bör uppdateras
Eftersom felet finns i Linux huvudkod kan alla distributioner som har levererat en sårbar kärna vara påverkade, förutsatt att nf_tables och unprivileged user namespaces är aktiverade.
Det viktigaste rådet är enkelt:
Uppdatera kärnan och starta om systemet.
En kerneluppdatering skyddar inte fullt ut förrän datorn eller servern faktiskt har startats om och kör den nya kärnan.
Ubuntu har enligt uppgifterna rättningar för 22.04 LTS, 24.04 LTS och 25.10. Debian har rättat felet i Bookworm och Trixie, samt tagit fram en 6.1-backport för Bullseye LTS. Även Red Hat, SUSE och Amazon Linux följer sårbarheten i sina respektive säkerhetskanaler.
Eftersom versionsnumren varierar mellan distributioner bör administratörer kontrollera den egna distributionens säkerhetsmeddelanden och se till att rätt kernelpaket är installerat.
Tillfällig skyddsåtgärd: begränsa user namespaces
För system där uppdatering inte kan göras omedelbart kan det vara klokt att se över om vanliga användare verkligen behöver kunna skapa egna user namespaces.
Att begränsa eller stänga av unprivileged user namespaces kan stoppa just den här angreppsvägen i många miljöer. Det kan dock påverka program som använder sandboxning eller containers, till exempel vissa webbläsare, Flatpak, rootless Podman eller andra isoleringslösningar.
Det är därför en skyddsåtgärd som bör testas innan den införs brett.
Del av en större våg av lokala Linux-sårbarheter
CVE-2026-23111 kommer samtidigt som flera andra lokala root-sårbarheter i Linux har uppmärksammats. Under den senaste tiden har säkerhetsforskare lyft fram bland annat Copy Fail, Dirty Frag, Fragnesia, DirtyDecrypt och en äldre ptrace-sårbarhet som kan läsa /etc/shadow och köra kommandon som root.
Detaljerna skiljer sig åt, men mönstret är detsamma: en angripare som först får en begränsad lokal åtkomst kan i många fall ta steget vidare till full kontroll över systemet.
Säkerhetsföretaget Synacktiv har i en genomgång kopplat ökningen av lokala Linux-exploits till bland annat AI-stödd sårbarhetsforskning och snabbare analys av säkerhetspatchar. När en patch väl publiceras kan angripare jämföra ändringen med äldre kod och snabbare förstå hur felet kan utnyttjas.
Inga kända attacker i det vilda
Det finns i nuläget inga offentliga rapporter om att CVE-2026-23111 används aktivt i attacker, och ingen känd hotaktör har kopplats till sårbarheten.
Men exploitkod har varit offentlig sedan april, och en ännu mer detaljerad teknisk genomgång publicerades i juni. Det innebär att organisationer inte bör vänta med att uppdatera.
För administratörer är prioriteringen tydlig: börja med system där okända eller mindre betrodda användare kan köra kod, där containers används, eller där tjänster kan ge en angripare ett första lokalt fotfäste.
En lokal sårbarhet är inte ofarlig bara för att den saknar fjärrangrepp. I praktiken är just den här typen av buggar ofta nästa steg efter ett intrång.
https://thehackernews.com/2026/06/one-character-linux-kernel-flaw-enables.html
Fakta: CVE-2026-23111
Sårbarhet: CVE-2026-23111
Typ: Use-after-free i Linux-kärnans nf_tables-kod
Påverkar: Linux-system där sårbar kärna, nf_tables och unprivileged user namespaces används
Risk: Lokal användare kan höja sina rättigheter till root och i vissa fall bryta sig ut ur en container
Allvarlighet: Ubuntu klassar felet som CVSS 7.8, vilket motsvarar hög allvarlighetsgrad
Patchad upstream: 5 februari 2026
Publika exploits: Tekniska genomgångar och fungerande exploits har publicerats av bland annat Exodus Intelligence och FuzzingLabs
Rekommendation: Uppdatera kärnan och starta om systemet. För system som inte kan uppdateras direkt kan det vara aktuellt att begränsa unprivileged user namespaces, men detta bör testas eftersom det kan påverka containers, Flatpak, rootless Podman och vissa sandboxade program.
