Опубликован эксплойт для выхода из контейнера в Ubuntu, а обновления ещё нет

Компания DepthFirst 22 сентября опубликовала эксплойт для уязвимости CVE-2026-80521 в ядре Linux, которая позволяет из контейнера получить права root на хосте. Исправление в ядро внесли ещё 6 августа, но Ubuntu до сих пор не выпустила его ни для 26.04, ни для 24.04 и 22.04 LTS, сообщает The Hacker News.

Ошибка типа use-after-free находится в сборщике мусора сокетов AF_UNIX, через которые процессы передают друг другу файловые дескрипторы. Из-за состояния гонки сборщик может освободить часть связанных сокетов, но оставить указатель на них во внутреннем списке, и следующий проход обращается к уже освобождённой памяти. Сокеты AF_UNIX по умолчанию разрешены профилями seccomp в Docker и Kubernetes, а до ошибки можно добраться обычными системными вызовами, поэтому эксплойт обходит изоляцию пространств имён, ограничения cgroup и фильтрацию seccomp.

Ошибке присвоена оценка 7,8 балла по CVSS. Уязвимый код появился в ядре 6.10 и был перенесён в стабильные ветки 6.1 и 6.6, исправление вошло в основную ветку 7.2 и стабильную 7.1.10. В трекере Ubuntu пакет ядра для 26.04 помечен как «уязвим, работа продолжается», в 24.04 и 22.04 затронуты более новые пакеты ядра, в том числе для нагрузок в AWS, Azure и GCP, а срок выхода обновления не назван. Подтверждённых сообщений об атаках пока нет.

Временного обходного решения не предложили ни DepthFirst, ни Ubuntu. Тем, кто работает на затронутых ядрах, остаётся самостоятельно применить исправление из основной ветки ядра, а недоверенные нагрузки DepthFirst советует переносить в микровиртуальные машины вроде Firecracker или Kata Containers, где у каждой нагрузки своё ядро, а не общее с хостом.

Ошибку нашла обученная поиску уязвимостей ИИ-модель DepthFirst dfs-large1 вместе с тестовым стендом под управлением людей, а независимо от компании о той же ошибке сообщил исследователь OpenAI. В DepthFirst считают, что поиск уязвимостей с помощью ИИ настолько упростил выход из контейнера, что организациям больше не стоит считать контейнеры границей безопасности: «Барьер для выхода из контейнеров через атаку на ядро снизился настолько, что мы должны исходить из того, что злоумышленники могут делать это по своему желанию». По данным LinuxCVETracker, в 2026 году опубликовано почти 5700 CVE в ядре Linux, это рекорд за всё время наблюдений.