Infinity Core: sei bug kernel root, CloudLinux 9 e 10 già patchate

Sei bug nel kernel Linux, battezzati collettivamente Infinity Core, mettono a rischio ogni server condiviso dove un cliente ha una shell o un pannello di controllo. Il ricercatore Hyunwoo Kim ha pubblicato dettagli tecnici ed exploit funzionanti su oss-security il 16 ottobre 2026, dopo la scadenza dell'embargo concordato con la lista linux-distros. CloudLinux ha pubblicato il 21 ottobre alle 18:40 UTC lo stato della propria analisi e i kernel corretti.

Il bug che riguarda davvero CloudLinux è CVE-2026-98260, un use-after-free nei timer POSIX per CPU legato a una race in exec(). Per chi gestisce hosting condiviso il punto è semplice: basta un account locale qualsiasi, senza capability speciali, senza user namespace, per arrivare a root. CageFS non aiuta: isola la vista sul filesystem, ma non filtra le system call coinvolte (exec, segnali, timer, futex, mincore), quindi un account in gabbia può comunque innescare il bug.

Chi è toccato e con quale kernel

Versione	Esposizione	Stato patch
CloudLinux 9	CVE-2026-98260	Kernel corretto: 5.14.0-687.59.1.el9_8
CloudLinux 10	CVE-2026-98260, CVE-2026-98256	Kernel corretto: 6.12.0-211.67.1.el10_2
CloudLinux 8 LTS / 9 LTS	CVE-2026-98260 (da code review)	In attesa del rilascio TuxCare ELS
CloudLinux per Ubuntu 22.04	CVE-2026-98260	Nessuna patch Ubuntu ancora rilasciata
CloudLinux 7, 7h, 8	Da verificare	Analisi in corso, nessun aggiornamento richiesto per ora

Degli altri quattro bug della famiglia Infinity Core, solo quello sui futex (CVE-2026-80775) è presente nei kernel di CloudLinux 9 e 10, ma risulta già corretto. I bug su gestione memoria, scheduler e allocatore SLUB non toccano nessun kernel CloudLinux.

Come verificare e aggiornare

Su CloudLinux 9 e 10 l'aggiornamento è:

dnf update 'kernel*'
reboot

Per controllare se il kernel in esecuzione include già la correzione:

rpm -q --changelog kernel-core-$(uname -r) | grep -E 'CVE-2026-(98260|98256)'

Chi usa KernelCare può verificare la copertura livepatch con:

kcarectl --patch-info | grep -E 'CVE-2026-(98260|98256|89754|80775)'

Il livepatch per il bug dei timer è in preparazione per CloudLinux 9, 10 e i kernel Ubuntu; quello per i futex è già disponibile.

Nel frattempo

Non esiste un sysctl o un blacklist di modulo che disattivi i percorsi di codice coinvolti. Finché non arriva il kernel corretto o il livepatch, conviene limitare chi ha shell locale sugli host esposti, separare in VM distinte i tenant che non devono fidarsi a vicenda, e tenere d'occhio il log del kernel: journalctl -k | grep -iE 'BUG:|Oops|general protection'. Un log pulito non dimostra che non sia successo nulla, perché una race fallita può limitarsi a un crash senza lasciare altre tracce.