CVE-2026-98276: falla UDP nel kernel Linux porta a root su CloudLinux

CloudLinux ha pubblicato il 7 novembre un avviso su CVE-2026-98276, una race condition nel codice dei socket UDP del kernel Linux. Chi gestisce hosting condiviso deve saperlo subito: la falla permette a un utente locale, cioè a qualsiasi account che può eseguire un programma sul server, di mandare in crash il kernel o di ottenere i privilegi di root.

CVE-2026-98276 ha un CVSS di 7,0, classificato come Moderate da Red Hat, mentre NVD lo valuta 7,8, High, secondo il kernel CNA. Gli ingegneri di CloudLinux hanno riprodotto sia il crash sia l'escalation a root; il 4 novembre un exploit ha colpito un server CloudLinux 8, dove sono stati osservati solo crash, e nessun codice exploit è pubblico. La CVE era stata pubblicata il 6 ottobre, quindi è passato quasi un mese prima del primo attacco osservato.

Versioni colpite e stato della patch

Versione	Kernel	Patch kernel	Livepatch KernelCare
CloudLinux 7	3.10	in preparazione	non ancora
CloudLinux 7h	4.18	4.18.0-553.184.1.lve.1, rollout graduale	non ancora
CloudLinux 8	4.18	4.18.0-553.184.1.lve.1, rollout graduale	disponibile dal 6/11 ore 08:50 UTC
CloudLinux 8 LTS	5.14 (TuxCare ELS)	kernel-lts els17, canale stabile dal 2/11	non disponibile
CloudLinux 9	5.14	5.14.0-687.66.2.el9_8, repo test AlmaLinux	in preparazione
CloudLinux 9 LTS	5.14 (TuxCare ELS)	kernel-lts els17, canale stabile	non disponibile
CloudLinux 10	6.12	6.12.0-211.74.2.el10_2, repo test AlmaLinux	in preparazione
CloudLinux per Ubuntu 22.04	5.15	via Canonical, in verifica	non ancora

Red Hat lista i kernel di RHEL 9 e 10 come interessati e non ha ancora rilasciato una patch; CloudLinux 9 e 10 ricevono quindi il fix dal repository di test di AlmaLinux, non ancora passato in produzione.

Nessuna mitigazione

Il punto critico è che non esiste una contromisura temporanea. Un firewall non intercetta nulla perché l'attacco è fatto di chiamate di un programma al proprio kernel, non traffico di rete. SELinux potrebbe bloccare la sequenza, ma cPanel & WHM richiede che sia disattivato. L'unica riduzione del rischio, non eliminazione, è limitare shell, cron e applicazioni di account non fidati fino all'installazione della patch.

Per verificare se la livepatch è attiva:

kcarectl --patch-info | grep CVE-2026-98276

Per controllare se un server ha già subito l'exploit del 4 novembre, va letto il log del boot precedente:

journalctl -k -b -1 | grep -E 'inet_sock_destruct|udp_destruct_common|__sk_mem_raise_allocated|__udp_enqueue_schedule_skb'

Su un server con account non fidati e CloudLinux 7h o 8 ancora in attesa del rollout, la patch si forza con:

yum update cloudlinux-release
yum update kernel --enablerepo=cloudlinux-rollout-10-bypass
reboot