SakerCP SKSA-2026-002 Núcleo Linux (ZDI-CAN-33367 e PwnEscape)
- Publicado
- 2026-10-24
- Actualizado
- 2026-10-24
- Componente
- Núcleo Linux (ZDI-CAN-33367 e PwnEscape)
- Gravidade
- Crítica
- Estado
- À espera da correcção do fornecedor
- CVE
- CVE-2026-99999
- Afectadas
- Servidores com o SakerCP em CloudLinux 8 ou 9 onde os utilizadores comuns podem criar espaços de nomes de utilizador (user.max_user_namespaces diferente de 0). A CloudLinux fecha-os por omissão nos servidores instalados desde meados de 2024.
Resumo
Duas falhas no núcleo Linux deixam um utilizador local chegar a root: a ZDI-CAN-33367 (ainda sem CVE, com exploit público) reescreve ficheiros que o utilizador só pode ler, e a CVE-2026-99999 (PwnEscape) corrompe memória do núcleo. Num servidor de alojamento, uma única conta chega para tocar em todas. Nos servidores sem máquinas virtuais, as duas só são exploráveis se os utilizadores comuns puderem criar espaços de nomes de utilizador.
Pormenores
Ainda não há núcleo corrigido para o CloudLinux 9: a correcção vem do AlmaLinux. A mitigação é desligar os espaços de nomes de utilizador para os utilizadores comuns (user.max_user_namespaces = 0); nenhuma função do SakerCP precisa deles. A próxima versão do SakerCP grava essa opção no sistema e o conselheiro de segurança passa a verificá-la como crítica, para não depender só da configuração da CloudLinux. A partir da mesma versão, o SakerCP instala também a KernelCare (incluída na licença da CloudLinux), que aplica a correcção do núcleo sem reiniciar logo que a CloudLinux a publique para o 9.
O que fazer
Confirme já: sysctl user.max_user_namespaces tem de mostrar 0. Se não mostrar: sysctl -w user.max_user_namespaces=0 e grave a linha user.max_user_namespaces = 0 num ficheiro em /etc/sysctl.d/ (sem reinício). Com a KernelCare, a correcção aplica-se sozinha quando sair (confirme com kcarectl --patch-info). Sem ela, quando sair o núcleo corrigido: dnf upgrade 'kernel*' e reiniciar. Este aviso é actualizado nessa altura.
Cronologia
- Publicada a CVE-2026-99999 (PwnEscape).
- A CloudLinux publica a ZDI-CAN-33367, com exploit público e a mitigação.
- A nossa vigia diária apanha-a na página de estado da CloudLinux. O laboratório já estava mitigado (user.max_user_namespaces = 0); o SakerCP passa a garantir a opção e a verificá-la.
- O SakerCP passa a instalar a KernelCare; no laboratório, activada pela licença da CloudLinux. O livepatch desta falha para o CloudLinux 9 está em revisão na CloudLinux.