În acest material discutăm despre SCTPhantom, o vulnerabilitate Linux ce poate fi exploatată de un utilizator local pentru escaladarea privilegiilor până la nivelul root.
O vulnerabilitate de securitate descoperită în subsistemul SCTP al Linux a readus în atenție riscurile asociate codului vechi din kernel. Problema, urmărită sub identificatorul CVE-2026-64564 și denumită „SCTPhantom” de cercetătorii care au descoperit-o, există încă din 2008 și poate fi exploatată de un utilizator local pentru escaladarea privilegiilor până la nivelul root.
Potrivit cercetătorilor de la Tencent Zhuque Lab, vulnerabilitatea poate avea consecințe importante și în mediile containerizate. În anumite condiții, un atacator care a obținut deja acces la un container poate utiliza vulnerabilitatea pentru a ieși din acesta și a ajunge la sistemul gazdă. Problema nu permite însă, în forma sa cunoscută, un atac direct de la distanță, deoarece este necesar acces local și subsistemul SCTP trebuie să fie accesibil.
Vulnerabilitatea a fost corectată în actualizările recente ale kernelului, ceea ce face actualizarea sistemelor una dintre cele mai importante măsuri de protecție. Kernelurile stabile 7.1.6, 6.18.42, 6.12.101 și 6.6.148, lansate pe 3 august 2026, includ remedierea pentru această problemă.
Ce este vulnerabilitatea SCTPhantom
CVE-2026-64564 este o vulnerabilitate de tip use-after-free, o categorie de probleme care apare atunci când un program continuă să utilizeze o zonă de memorie după ce aceasta a fost deja eliberată.
Problema se află în implementarea SCTP din kernelul Linux. SCTP, sau Stream Control Transmission Protocol, este un protocol de transport care permite, printre altele, utilizarea mai multor căi de rețea pentru aceeași conexiune. O funcție asociată, Dynamic Address Reconfiguration, permite modificarea adreselor utilizate de o conexiune în timpul funcționării acesteia.
Potrivit analizei publicate de The Hacker News, problema apare din cauza unei neconcordanțe în modul în care kernelul verifică și procesează anumite cereri de ștergere a adreselor. Într-o anumită succesiune de mesaje, un obiect asociat conexiunii poate fi eliberat din memorie, în timp ce conexiunea păstrează în continuare un pointer către zona respectivă.
Acest comportament poate transforma vulnerabilitatea într-o problemă serioasă de securitate, deoarece memoria eliberată poate fi reutilizată și manipulată într-un mod care permite unui atacator să influențeze comportamentul kernelului. Cercetătorii au demonstrat că vulnerabilitatea poate fi folosită pentru escaladarea privilegiilor și obținerea accesului root.
O problemă veche care poate duce la acces root
Unul dintre aspectele neobișnuite ale vulnerabilității este vechimea sa. Problema își are originea în Linux 2.6.25, lansat în 2008, și a rămas prezentă în kernelurile dezvoltate ulterior.
Cercetătorii Tencent au raportat că au reușit să exploateze problema pe mai multe distribuții Linux, inclusiv Debian 13, Ubuntu 24.04, Rocky Linux 9, RHEL 9 și OpenCloudOS. În scenariile testate, vulnerabilitatea putea fi transformată într-o escaladare completă de privilegii.
Impactul devine și mai important în cazul infrastructurilor care utilizează containere. Un container este conceput pentru a izola aplicațiile și procesele de sistemul gazdă, însă o vulnerabilitate la nivelul kernelului poate afecta această separare. Cercetătorii au demonstrat că problema poate fi utilizată, în anumite configurații, pentru a ieși din container și a obține acces root asupra sistemului gazdă.
Totuși, este important de precizat că vulnerabilitatea nu reprezintă un atac remote simplu. Atacatorul trebuie să aibă deja acces local la sistem, iar condițiile necesare pentru exploatare includ accesibilitatea SCTP. La momentul publicării informațiilor, nu fusese identificat un cod de exploatare public, iar vulnerabilitatea nu figura în catalogul CISA Known Exploited Vulnerabilities.
Cum poate fi securizat un sistem Linux
Patching regulat al kernelului
Cea mai importantă măsură împotriva CVE-2026-64564 este instalarea actualizărilor de securitate furnizate de distribuția utilizată. Sistemele care rulează versiuni de kernel vulnerabile ar trebui actualizate cât mai curând posibil, în special atunci când sunt utilizate pentru servere, infrastructuri cloud sau medii containerizate.
Administratorii ar trebui să verifice periodic versiunea kernelului și disponibilitatea actualizărilor de securitate. În cazul infrastructurilor critice, actualizările pot fi testate mai întâi într-un mediu separat, însă aplicarea patch-urilor nu ar trebui amânată inutil.
Problema demonstrează și de ce menținerea unui kernel cât mai recent este importantă. Un defect introdus cu aproape două decenii în urmă poate deveni relevant pentru securitatea infrastructurilor moderne, inclusiv a celor care folosesc containere și servicii cloud.
Antivirus și monitorizarea sistemului
Actualizarea kernelului trebuie completată de alte măsuri de securitate. Pe sistemele Linux unde există un antivirus sau o soluție EDR compatibilă cu infrastructura respectivă, aceasta poate contribui la detectarea fișierelor malițioase, a activităților suspecte și a altor comportamente asociate unei tentative de compromitere.
Totuși, un antivirus nu înlocuiește patching-ul kernelului. O vulnerabilitate precum CVE-2026-64564 se află la nivelul kernelului, astfel că protecția principală este remedierea codului vulnerabil prin actualizarea sistemului.
În plus, administratorii pot limita suprafața de atac prin dezactivarea componentelor și protocoalelor care nu sunt necesare. În cazul SCTP, organizațiile care nu utilizează acest protocol ar trebui să verifice dacă este necesară menținerea lui activă și să aplice politicile de securitate corespunzătoare mediului respectiv.
De ce contează vulnerabilitatea pentru serverele Linux
Riscul asociat unei vulnerabilități de kernel nu trebuie analizat doar prin prisma sistemelor desktop. Linux este utilizat pe scară largă pentru servere, infrastructuri cloud, sisteme de virtualizare și platforme care rulează containere.
Într-un astfel de mediu, obținerea privilegiilor root poate avea consecințe semnificative. Un atacator care pornește de la un acces limitat poate încerca să exploateze vulnerabilități locale pentru a-și extinde privilegiile și pentru a obține acces la resurse care ar trebui să rămână protejate.
În cazul mediilor containerizate, izolarea dintre container și sistemul gazdă reprezintă o componentă importantă a securității. O vulnerabilitate la nivelul kernelului poate reduce această protecție, motiv pentru care actualizarea kernelului este deosebit de importantă pentru serverele care găzduiesc aplicații în containere.
O vulnerabilitate veche, o problemă actuală
Cazul SCTPhantom arată că problemele de securitate ascunse în componente vechi ale kernelului Linux pot rămâne relevante chiar și după aproape două decenii. Codul introdus în kernel în urmă cu 18 ani poate ajunge să fie exploatat într-un context modern, în care un sistem Linux poate găzdui containere, aplicații cloud și servicii critice.
Deși CVE-2026-64564 necesită acces local și anumite condiții tehnice pentru exploatare, posibilitatea de a transforma problema într-o escaladare la root și, în anumite scenarii, într-o evadare din container justifică aplicarea rapidă a patch-urilor disponibile.
Pentru administratorii de sisteme Linux, principala concluzie este una practică: actualizarea regulată a kernelului, utilizarea unor soluții de securitate complementare și reducerea componentelor inutile reprezintă măsuri esențiale pentru limitarea riscurilor.
Concluzie
Vulnerabilitatea SCTPhantom demonstrează că problemele de securitate ascunse în componente vechi ale kernelului Linux pot rămâne relevante chiar și după aproape două decenii. Deși exploatarea necesită acces local și anumite condiții tehnice, posibilitatea de a obține privilegii root și de a compromite izolarea containerelor transformă problema într-un risc care nu ar trebui ignorat.
Pentru administratori și organizații, aplicarea regulată a patch-urilor de securitate rămâne una dintre cele mai importante măsuri de protecție. Actualizarea kernelului, utilizarea unor soluții antivirus sau EDR și dezactivarea componentelor care nu sunt necesare pot reduce semnificativ suprafața de atac și pot limita impactul unei eventuale tentative de compromitere.
Cazul evidențiază, totodată, importanța unei politici de mentenanță pe termen lung. Chiar și vulnerabilitățile care nu sunt exploatate pe scară largă în prezent pot deveni relevante pe măsură ce apar noi tehnici de atac și infrastructuri mai complexe. Așadar, menținerea sistemelor Linux actualizate este foarte importantă pentru securitatea infrastructurii IT.
Dacă aveți nevoie de ajutor pentru securizarea infrastructurii companiei, vă stăm la dispoziție.
Zemernett este o companie de externalizare IT care reușește cu succes atât să susțină buna funcționare a infrastructurilor, cât și să implementeze soluții tehnice moderne, ajutând companiile client să devină conforme NIS2 (și să rămână conforme pe termen lung).
