CVE-2026-72389: falla nel bridge del kernel porta a root su CloudLinux 7h e 8

Un bug nei timer dello Spanning Tree Protocol del bridge di rete del kernel Linux permette a un utente locale non privilegiato, che possa configurare un bridge, di ottenere root sull'host. È il CVE-2026-72389 (bridge-stp-uaf), CVSS 7.0, classificato Moderate da Red Hat, segnalato il 5 agosto 2026 dai ricercatori n132 e sven sze tramite SSD Secure Disclosure. Il codice vulnerabile è nel kernel Linux almeno dalla versione 2.6.12 del 2005. Per chi gestisce hosting condiviso la cosa riguarda direttamente i clienti: "local" qui significa chiunque sia entrato in un sito tramite un plugin non aggiornato. Se la corruzione arriva nel kernel, che è condiviso da tutti i tenant, il risultato è root su ogni account della macchina.

Versioni CloudLinux esposte

Secondo l'avviso di CloudLinux, pubblicato il 10 settembre 2026 e aggiornato il 1° ottobre, il codice vulnerabile è presente in tutti i kernel distribuiti, ma non ovunque raggiungibile da un account hosting normale:

Versione	Esposizione di default	Stato patch kernel	Livepatch
CloudLinux 7h	Sì, come fornito	4.18.0-553.157.1.lve.2.el7h, rollout stable dal 23/9/2026	Disponibile sul feed principale
CloudLinux 8	Sì, come fornito	4.18.0-553.157.1.lve.2.el8, rollout stable dal 23/9/2026	Disponibile sul feed principale
CloudLinux 8 LTS (TuxCare ELS)	Sì, come fornito	kernel-lts-5.14.0-284.1101.tuxcare.11.els14, in beta	Non coperto da KernelCare su questa linea
CloudLinux 7, 9, 9 LTS, 10, Ubuntu 22.04	No, non esposto di default	Segue Red Hat/Canonical, nessuna data	Disponibile su CL9/CL10, da confermare su CL9 LTS

Un container con diritti di rete elevati bypassa il default che protegge le versioni non esposte: su quei casi va trattato come esposto fino all'aggiornamento o al livepatch.

Mitigazione senza riavvio

Su CloudLinux 7h, 8 e 8 LTS, dove serve un rimedio immediato, va applicata questa regola:

echo 'install bridge /bin/false' > /etc/modprobe.d/bridge-stp-uaf.conf

Funziona solo se il modulo bridge non è già caricato: verificare con lsmod | grep '^bridge '. Non serve riavvio se il comando non restituisce output. La regola non ha effetto su host che già fanno bridging (Docker con docker0, libvirt, LXC): su quelli serve l'aggiornamento del kernel o il livepatch. Va usata la forma install bridge /bin/false, non un semplice blacklist bridge, che non blocca il caricamento su richiesta del kernel.

Verifica e aggiornamento

Dopo l'update, uname -r deve riportare 4.18.0-553.157.1.lve.2.el8 o .el7h a seconda della versione. Con il livepatch disponibile: kcarectl --patch-info | grep CVE-2026-72389. Su CL8: yum update 'kernel*' --enablerepo=cloudlinux-updates-testing && reboot; su CL7h: yum update 'kernel*' --enablerepo=cl7h_beta && reboot. L'avviso è tracciato anche sulla status page di CloudLinux, dove sono previsti aggiornamenti.