USN-8877-1: decine di falle nel kernel linux-gcp, reboot e ricompilazione moduli

Ubuntu ha pubblicato il 6 ottobre 2026 l'avviso USN-8877-1, che corregge decine di vulnerabilità nel kernel Linux per Google Cloud Platform. Riguarda chi gestisce istanze Ubuntu 22.04 LTS (jammy) su GCP con i pacchetti linux-gcp e linux-gcp-fips. Chi ha VM su GCP con questa distribuzione deve pianificare un riavvio, non un semplice aggiornamento a caldo.

Cosa corregge

L'avviso cita esplicitamente CVE-2022-3114: un bug nel driver clock i.MX che non gestiva correttamente i fallimenti di allocazione di memoria, con conseguente null pointer dereference. Un attaccante locale poteva sfruttarlo per causare un crash del sistema (denial of service).

A questa si aggiungono decine di altre CVE del 2026 che toccano sottosistemi molto diffusi: filesystem (Btrfs, XFS, NFS, exFAT, F2FS), stack di rete (IPv4/IPv6, Netfilter, Bluetooth, SCTP), driver USB, GPU, KVM, io_uring e altri ancora, secondo l'elenco pubblicato da Ubuntu nell'avviso.

Versioni corrette

Pacchetto	Versione corretta
linux-image-5.15.0-1118-gcp	5.15.0-1118.128
linux-image-5.15.0-1118-gcp-fips	5.15.0-1118.128+fips1 (richiede Ubuntu Pro)
linux-image-gcp-5.15	5.15.0.1118.115
linux-image-gcp-lts-22.04	5.15.0.1118.115

Attenzione all'ABI bump

Ubuntu segnala che l'aggiornamento comporta un cambio di ABI: il kernel riceve una nuova numerazione di versione. Questo significa che va ricompilato e reinstallato qualsiasi modulo kernel di terze parti installato manualmente (driver proprietari, moduli custom). Se non si è disinstallato manualmente il metapackage del kernel standard (linux-generic o simili), un normale aggiornamento di sistema esegue questo passaggio in automatico.

Dopo l'aggiornamento standard serve un riavvio per rendere effettive le modifiche. Per chi ha sottoscrizione Ubuntu Pro, la variante FIPS riceve lo stesso fix con certificazione FIPS-140 mantenuta.

Per i dettagli completi, l'elenco integrale dei CVE corretti e le istruzioni di aggiornamento, fare riferimento all'avviso ufficiale USN-8877-1 su ubuntu.com/security/notices.