Google ha assegnato quasi 350.000 dollari attraverso il proprio programma di ricompense dedicato alla sicurezza informatica per la scoperta di due importanti vulnerabilità presenti nel kernel Linux. Le falle, corrette prima dell’annuncio pubblico, erano considerate particolarmente pericolose perché consentivano di ottenere privilegi elevati sul sistema in specifiche circostanze.
La ricompensa più alta è stata destinata alla vulnerabilità più critica, ribattezzata Januscape.
Januscape è rimasta nascosta per 16 anni
Identificata con il codice CVE-2026-53359, Januscape interessa il sistema KVM, utilizzato per la virtualizzazione su Linux. Secondo Google, la vulnerabilità era presente da circa 16 anni ed era riuscita a sfuggire alle verifiche degli esperti per tutto questo tempo.
Si tratta di una falla di tipo use-after-free, una categoria di vulnerabilità che sfrutta errori nella gestione della memoria. In questo caso il problema riguarda il meccanismo di emulazione della shadow MMU, responsabile della traduzione degli indirizzi di memoria tra host e hypervisor.
Se sfruttata correttamente, la vulnerabilità avrebbe potuto consentire a una macchina virtuale di uscire dal proprio ambiente isolato e ottenere i privilegi di root sul sistema fisico che la ospitava. Google ha riconosciuto 250.000 dollariper questa scoperta.
Anche GhostLock consentiva di ottenere privilegi elevati
La seconda vulnerabilità, CVE-2026-43499, è stata denominata GhostLock e ha fruttato una ricompensa di 92.337 dollari al team di Nebula Security.
Il problema riguarda il sistema futex del kernel Linux, utilizzato per la gestione della sincronizzazione tra processi. In particolari condizioni, durante la gestione di un blocco, il kernel poteva mantenere un riferimento a un’area di memoria già liberata.
Sfruttando questa situazione, i ricercatori sono riusciti a indurre il sistema a eseguire codice con i massimi privilegi disponibili. Anche questa vulnerabilità risultava presente da diversi anni, poiché il codice interessato risaliva al 2011.
Entrambe le falle sono state corrette prima dell’annuncio delle ricompense. Di conseguenza, gli exploit descritti non risultano più utilizzabili sui sistemi che hanno installato le versioni aggiornate del kernel Linux.
