Eine kritische Sicherheitslücke im IPv6-Netzwerk-Stack des Linux-Kernels erlaubt es unprivilegierten Nutzern, über UDPv6-Sockets Speicher zu beschädigen und eigenen Code auszuführen. Der Patches sind für mehrere Kernel-Versionen verfügbar, und die Schwachstelle wird bereits aktiv von Angreifern ausgenutzt. Das sogenannte Exploit Prediction Scoring System (EPSS) weist der Lücke einen Wert von 0,51 zu, was eine hohe Wahrscheinlichkeit für einen Missbrauch innerhalb der nächsten 30 Tage signalisiert.
Falsche Speichergröße in der IPv6-Paketfragmentierung
Der Fehler liegt in der Kernel-Funktion __ip6_append_data(), die für den Aufbau von IPv6-Paketen zuständig ist. Konkret wird in einem bestimmten Verarbeitungspfad – dem Paged-Allocation-Branch – die Speicherberechnung für die Variablen alloclen (zugewiesener Speicher) und pagedlen (Seitendaten-Länge) fehlerhaft durchgeführt. Normalerweise müssen diese Größen den sogenannten Fragment Gap berücksichtigen: Bytes, die aus dem vorherigen Fragment übrig bleiben und in das nächste Fragment kopiert werden. Die fehlerhafte Implementierung ignoriert diesen Gap jedoch.
Die Folge: Der lineare Speicherbereich eines neuen Pakets wird um die Länge des Fragment Gaps – die fraggap-Bytes – zu klein dimensioniert, während pagedlen um den gleichen Betrag überschätzt wird. Wenn das System anschließend Daten in den Puffer kopiert, schreibt es über die Grenze hinaus in den skb_shared_info-Bereich. Dies kann je nach Kernel-Version und Systemkonfiguration zu einem Denial-of-Service oder, unter bestimmten Bedingungen, zur Ausführung von beliebigem Code führen. Die Ursache geht auf den Commit 773ba4fe9104 zurück; durch den Commit ce650a166335 wurde das Problem zusätzlich verschärft.
Mechanismus und Angriffsvektor
Der Angriff erfolgt über UDPv6-Sockets, wobei die Flags MSG_MORE und MSG_SPLICE_PAGES gesetzt werden. Unprivilegierte Benutzer können so ohne spezielle Rechte den Buffer Overflow auslösen. Die Sicherheitslücke wurde unter der Kennung CVE-2026-53362 (CVSS-Score 7.8) katalogisiert und von der US-Behörde CISA in den Katalog der aktiv ausgenutzten Schwachstellen aufgenommen. Das bedeutet, dass Angreifer weltweit derzeit versuchen, diese Lücke auszunutzen.
Betroffene Kernel-Versionen und verfügbare Patches
Der Fehler betrifft mehrere aktive Kernel-Zweige. Die Linux-Entwickler haben bereits Korrekturen in die entsprechenden stabilen Releases integriert. Die folgende Liste zeigt die betroffenen Kernel-Versionen und die jeweiligen Patch-Level:
- Kernel 6.1 – Patch: 6.1.177
- Kernel 6.6 – Patch: 6.6.144
- Kernel 6.12 – Patch: 6.12.95
- Kernel 6.18 – Patch: 6.18.38
- Kernel 7.1 – Patch: 7.1.3
Mehrere große Linux-Distributionen wie Red Hat, Suse und openSUSE haben bereits entsprechende Sicherheitsupdates veröffentlicht. Administratoren sollten die eigenen Systeme umgehend überprüfen und die Patches einspielen. Die Aufnahme in den CISA-Katalog am 27. August 2026 unterstreicht die Dringlichkeit: Wer diese Lücke nicht schließt, muss mit aktiven Angriffen rechnen.
EPSS-Score als Risikoindikator
Das Exploit Prediction Scoring System (EPSS) gibt die Wahrscheinlichkeit in Prozent an, mit der eine Schwachstelle innerhalb der nächsten 30 Tage ausgenutzt wird. Der Score kann sich im Laufe der Zeit verändern. Der hier genannte Wert von 0,51 bezieht sich auf den Stand zum Zeitpunkt der Veröffentlichung dieses Artikels. Angesichts der bereits dokumentierten aktiven Ausnutzung ist jedoch von einer deutlich erhöhten Bedrohungslage auszugehen.
Die Sicherheitslücke zeigt einmal mehr, wie anfällig selbst zentrale Kernel-Komponenten sein können, wenn Speicherberechnungen fehlschlagen. Dass ein unprivilegierter Nutzer ohne besondere Rechte einen solchen Overflow auslösen kann, macht die Gefahr besonders ernst. Das Linux-Kernel-Team hat schnell reagiert, aber die Verantwortung liegt nun bei jedem Systemadministrator, die aktualisierten Kernel einzuspielen. Wer IPv6 aktiv nutzt – und das ist in modernen Netzwerken die Regel – sollte diese Lücke als prioritär einstufen. Die Kombination aus hohem CVSS-Score, aktivem Exploit und breiter Betroffenheit lässt nur eine Handlungsempfehlung zu: sofort patchen.
