Ein Sicherheitsforscher hat eine kritische Schwachstelle im Linux-Kernel aufgedeckt, die Angreifern ohne besondere Rechte den vollen Root-Zugriff verschafft. Die Lücke trägt den Namen "Bad Epoll" und ist unter der Kennung CVE-2026-46242 registriert. Betroffen ist die sogenannte epoll-Funktion des Kernels, ein zentraler Baustein, über den Linux und Android Ein- und Ausgaben von Prozessen überwachen.

Entdeckt und als Exploit ausgearbeitet hat die Lücke Jaeyoung Chung, der den Fund im Rahmen von Googles Bug-Bounty-Programm kernelCTF einreichte. Dafür winkt eine Prämie von mindestens 71.337 US-Dollar.

Warum die Lücke so gefährlich ist

Aus mehreren Gründen gilt Bad Epoll als besonders brisant. Zum einen zählt sie zu den wenigen Kernel-Bugs, mit denen sich auch Android-Geräte rooten lassen. Von rund 130 bislang über kernelCTF ausgenutzten Schwachstellen kommen dafür nur etwa zehn infrage. Hinzu kommt: Die Lücke lässt sich sogar aus der abgeschotteten Sandbox von Chromes Renderer-Prozess heraus auslösen, wo die meisten anderen Kernel-Bugs wirkungslos bleiben.

Ein Angreifer könnte also einen Fehler im Browser mit Bad Epoll kombinieren und so bis in den Kernel vordringen. Anders als bei ähnlichen Lücken wie Copy Fail gibt es zudem keinen einfachen Notausschalter, denn epoll lässt sich als Kernfunktion nicht einfach deaktivieren. Einzige Abhilfe ist der offizielle Patch.

Ein Wettlauf mit der künstlichen Intelligenz

Besonders bemerkenswert an dem Fall ist die Vorgeschichte. Ein einziger Commit aus dem Jahr 2023 hatte gleich zwei Race-Conditions in den etwa 2.500 Zeilen epoll-Code eingebaut. Eine davon fand bereits Anthropics KI-Modell Mythos und meldete sie als CVE-2026-43074, was für die Fähigkeiten solcher Systeme spricht, denn Race-Conditions gelten als besonders schwer aufzuspüren. Die zweite, deutlich subtilere Lücke, eben Bad Epoll, übersah die KI jedoch.

Als mögliche Gründe nennt der Bericht ein nur rund sechs Instruktionen schmales Zeitfenster für die Race-Condition sowie die Tatsache, dass der Speicherfehler nach Behebung der ersten Lücke kaum noch vom Analysetool KASAN erkannt wird. Auch für die Kernel-Maintainer selbst war die Lücke keine leichte Aufgabe: Ihr erster Patch-Entwurf reichte nicht aus, ein wirklich funktionierender Fix folgte erst zwei Monate später.

So funktioniert der Angriff im Detail

Technisch nutzt der Exploit vier miteinander verknüpfte epoll-Objekte, die in zwei Paaren organisiert sind. Werden zwei parallele Schließvorgänge im Kernel gezielt zur Kollision gebracht, entsteht eine sogenannte Use-after-Free-Situation: Ein Objekt wird freigegeben, während ein anderer Prozess noch darauf schreibt.

Aus diesem winzigen Fehler baut der Angreifer schrittweise mehr Kontrolle auf, unter anderem über einen sogenannten Cross-Cache-Angriff, bis er über die Datei /proc/self/fdinfo beliebige Kernel-Speicherbereiche auslesen kann. Am Ende steht ein manipulierter Kontrollfluss samt ROP-Kette, die dem Angreifer eine Root-Shell verschafft. Trotz des extrem schmalen Zeitfensters gelingt der Angriff laut den Autoren in rund 99 Prozent der Fälle.

Patch verfügbar, Android-Exploit in Arbeit

Der offizielle Fix ist inzwischen im Kernel-Mainline-Zweig gelandet, über den Commit a6dc643c6931. Nutzer und Administratoren sollten prüfen, ob ihre Distribution diesen Patch bereits eingespielt hat, insbesondere bei Kernel-Versionen ab 6.4. Ältere Systeme mit Kernel 6.1 sind nicht betroffen, da die Lücke erst mit Version 6.4 eingeführt wurde.

Auf Googles Testsystemen funktioniert der Exploit bereits zuverlässig, ein vollständiger Root-Exploit für Android-Geräte wie das Pixel 10 befindet sich laut den Forschern noch in Arbeit. Ältere Pixel-Modelle mit Kernel 6.1 bleiben von der Lücke verschont.