USN-8871-1: patch kernel Ubuntu per Raspberry Pi, richiede riavvio e ricompilazione moduli

Canonical ha pubblicato il 5 ottobre 2026 l'avviso di sicurezza USN-8871-1, che corregge una serie di vulnerabilità nel kernel Linux per sistemi Raspberry Pi su Ubuntu 22.04 LTS (Jammy), pacchetto linux-raspi. Per chi gestisce flotte di Raspberry Pi in produzione — gateway IoT, nodi edge, piccoli server — è un aggiornamento da pianificare subito, non da rimandare: tra i difetti corretti c'è una falla che tocca l'hardware, non solo il software.

Il difetto più grave: TLB invalidation su Arm

La falla più rilevante è CVE-2025-10263: alcuni processori Arm possono completare un'invalidazione broadcast del TLB (translation lookaside buffer) prima che le scritture in memoria fatte tramite quella traduzione siano state osservate globalmente dal sistema. In pratica un attaccante locale potrebbe scrivere in memoria dopo che il permesso era già stato revocato, bypassando le protezioni di memoria o ottenendo un'escalation di privilegi. Secondo l'avviso Ubuntu, lo sfruttamento richiede accesso locale alla macchina.

Gli altri CVE corretti

L'avviso elenca oltre venti CVE aggiuntivi, che riguardano: architettura ARM64, driver InfiniBand, driver di rete, sottosistema TCM, file system exFAT, client e server NFS, protocollo di meshing B.A.T.M.A.N., networking IPv4 e IPv6, Netfilter e protocollo RDS. L'elenco completo dei riferimenti CVE è disponibile nella pagina ufficiale dell'avviso.

Pacchetti e versioni corrette

Pacchetto	Versione
linux-image-5.15.0-1110-raspi	5.15.0-1110.113
linux-image-raspi	5.15.0.1110.108
linux-image-raspi-5.15	5.15.0.1110.108
linux-image-raspi-nolpae	5.15.0.1110.108

Cosa fare

Dopo l'aggiornamento standard del sistema (apt update && apt upgrade) è necessario riavviare la macchina per rendere effettive le modifiche. Canonical segnala un'attenzione particolare: a causa di un cambio ABI inevitabile, il kernel ha un nuovo numero di versione, quindi vanno ricompilati e reinstallati tutti i moduli kernel di terze parti. Se non si sono disinstallati manualmente i metapackage standard del kernel (es. linux-generic, linux-raspi), un aggiornamento di sistema standard esegue questa operazione automaticamente.

L'avviso completo con l'elenco di tutti i CVE è pubblicato sul sito ufficiale di Ubuntu Security Notices.