Der Sicherheitsforscher Asim Viladi Oglu Manizada hat öffentliche Proof-of-Concept-Exploits (PoC) für vier lokale Root-Lücken im Linux-Kernel bereitgestellt. Die Schwachstellen mit den Bezeichnungen DirtyAH6 (CVE-2026-80844), TUNderflow (CVE-2026-81000), PPPoEject (CVE-2026-68121) und DiagSpill (CVE-2026-74469) ermöglichen es lokalen Angreifern unter bestimmten Bedingungen, ihre Privilegien auf Systemebene zu erhöhen.
Wie aus Fachberichten am 18. September 2026 hervorging, wurden die Fehler bereits Mitte Juli 2026 gemeldet. Da das Embargo der sogenannten „linux-distros“-Liste inzwischen abgelaufen ist, erfolgte nun die Veröffentlichung der technischen Details und der funktionsfähigen Exploits. Den Berichten zufolge bestanden diese Fehler zwischen 10 und 21 Jahre lang unentdeckt im Code des Linux-Kernels.
Technische Details der Sicherheitslücken
Die vier von Manizada untersuchten Schwachstellen weisen unterschiedliche Anforderungen für eine erfolgreiche Ausnutzung auf. Drei der Lücken — DirtyAH6, TUNderflow und PPPoEject — setzen die Verfügbarkeit von unprivilegierten User-Namespaces voraus.
Im Gegensatz dazu benötigt die als DiagSpill bekannte SCTP-Lücke weder User-Namespaces noch spezielle CAP-Berechtigungen (Capabilities), wodurch sie ohne spezifische Vorbedingungen lokal ausgenutzt werden kann.
Hinsichtlich der Gefährdung über das Netzwerk gaben Experten am 18. September 2026 Entwarnung für eine vollständige Übernahme. Bei DirtyAH6 und DiagSpill sei aus der Ferne lediglich ein Systemabsturz (Crash) möglich. Ein Remote-Root-Szenario gelte für diese Lücken als rein theoretisch oder sei bisher nur unter Laborbedingungen reproduzierbar.
Verfügbarkeit von Patches und Updates
Wer sich mit dem Thema IT-Sicherheit und stabilen Betriebssystemen befasst, findet in diesem kostenlosen Startpaket eine bewährte Alternative für den heimischen PC. Entdecken Sie, wie Sie Ubuntu ohne Risiko neben Ihrem bestehenden System testen können. Linux Startpaket mit Ubuntu-Vollversion kostenlos sichern
Für die betroffenen Systeme stehen bereits Korrekturen bereit. Fixes wurden in den Stable-Branches 5.10.270, 5.15.221, 6.1.188, 6.6.157, 6.12.109, 6.18.50 und 7.2.4 veröffentlicht.
Auch spezifische Distributionen haben reagiert: Oracle Linux 9 stellte mit dem Kernel-UEK-Update 5.15.0-324.217.5.3 (ELSA-2026-500329) eine Lösung bereit, die neben CVE-2026-81000 und CVE-2026-80844 auch weitere Schwachstellen wie CVE-2026-74268 und CVE-2026-80590 adressiert.
CISA warnt vor aktiver Ausnutzung weiterer Kernel-Fehler
Parallel zu den Veröffentlichungen von Manizada hat die US-Cybersicherheitsbehörde CISA drei weitere Linux-Kernel-Lücken in ihren Katalog der bekannt ausgenutzten Schwachstellen (KEV) aufgenommen. Dabei handelt es sich um CVE-2025-39682 mit einem CVSS-Wert von 9.8 im TLS-Empfangspfad, CVE-2026-53266 (CVSS 8.8, ebtables SNAT ARP-Rewrite) und CVE-2025-39964 (CVSS 7.8). Letztere ist eine Race Condition in der Funktion af_alg_sendmsg.
Red Hat bestätigte am 19. September 2026 um 2 Uhr UTC, dass diese drei KEV-Lücken bereits aktiv für Angriffe genutzt werden, und aktualisierte entsprechende Sicherheitshinweise.
Während Profi-Systeme komplexe Updates erfordern, können Heimanwender die Vorteile von Open-Source-Software ganz einfach und risikofrei auf dem eigenen Rechner kennenlernen. Dieser Ratgeber begleitet Sie Schritt für Schritt beim Einstieg in die Welt von Ubuntu. Kostenloses Linux-Startpaket inklusive Schritt-für-Schritt-Anleitung herunterladen
Während für diese Lücken bereits seit Monaten Upstream-Fixes für verschiedene Kernel-Versionen (u.a. 5.10.259 und 6.12.94) existieren, gelten laut Tracking-Daten vom 18. September 2026 die Distributionen Ubuntu 24.04 und 22.04 für CVE-2025-39964 und CVE-2026-53266 weiterhin als nicht gepatcht.
US-Bundesbehörden (FCEB) sind gemäß der Richtlinie BOD 26-04 verpflichtet, diese spezifischen Sicherheitslücken bis zum 21. September 2026 auf allen exponierten Systemen zu beheben und Prüfungen auf eine mögliche Kompromittierung durchzuführen. Eine Nutzung der Lücken im Zusammenhang mit Ransomware-Aktivitäten war der CISA bis zum 18. September 2026 nicht bekannt.