Felaktig Epoll: Anthropics AI missade denna grundläggande sårbarhet

Säkerhetsforskaren Jaeyoung Chung har avslöjat en sårbarhet i Linux-kärnan som ger en vanlig användare utan särskilda behörigheter full kontroll över systemet. ”Bad Epoll”, officiellt CVE-2026-46242, drabbar Linux-datorer, servrar och Android. En korrigering finns tillgänglig. Fallet är särskilt anmärkningsvärt på grund av en sidohistoria: en AI hade redan granskat den berörda koden men missat denna sårbarhet.

Vad Bad Epoll gör

Sårbarheten finns i epoll-subsystemet, en kärnfunktion som låter program övervaka många filer och nätverksanslutningar samtidigt. Servrar, nätverkstjänster och webbläsare använder den ständigt, och den går inte att stänga av. Bad Epoll är en ”use-after-free”-bugg: två kärnvägsförlopp rensar upp samma interna objekt samtidigt, det ena frigör minnet medan det andra fortfarande skriver till det. Denna korta kollision räcker för att manipulera kärnminnet och eskalera från ett vanligt konto till root.

Det avgörande är tajmingen. Fönstret där de båda vägarna kolliderar är endast cirka sex maskininstruktioner brett. Chungs exploit vidgar detta fönster och fortsätter att försöka utan att krascha tills den får root-behörighet på testade system i cirka 99 % av fallen. Två detaljer gör sårbarheten allvarligare än typiska kärnfel: enligt Chung kan den utlösas från Chromes renderingssandlåda, och den sträcker sig till Android, vilket de flesta Linux-sårbarheter inte gör.

Varför AI:n missade sårbarheten

Båda problemen kan spåras tillbaka till en enda kodändring från 2023, i endast 2 500 rader epoll-kod. Anthropics AI-modell Mythos upptäckte den första av de två race-sårbarheterna och rapporterade den som CVE-2026-43074. Det var en stor framgång, eftersom sådana här race-buggar anses vara svåra att upptäcka. Modellen missade den andra, Bad Epoll. Till slut var det den mänskliga forskaren Jaeyoung Chung som upptäckte den och konstruerade en fungerande attack för den.

Chung anger två möjliga orsaker till denna blindfläck utan att ta ställning för någon av dem. Tidsfönstret är så litet att den exakta sekvensen är svår att föreställa sig även när man tittar på koden. Och efter att den första bristen hade åtgärdats utlöste Bad Epoll vanligtvis inte längre minnesfelavkännaren KASAN, vilket gjorde att modellen saknade spår från körningen. Fallet visar båda sidor av frågan: AI kan hitta komplexa kärnfel, men kan fortfarande misslyckas med subtila tävlingsförhållanden.

Vem som påverkas och vad man ska göra

Kärnversioner från 6.4 och framåt påverkas om korrigeringen ännu inte finns. Äldre system baserade på Linux 6.1 är säkra, inklusive vissa enheter med Android, såsom Pixel 8, eftersom den felaktiga koden lades till först efter den grenen. Enligt Chung pågår fortfarande utvecklingen av en Android -exploit. Det finns vissa lugnande omständigheter när det gäller den omedelbara risken: hittills finns inga tecken på attacker i det vilda, och den enda fungerande koden är proof of concept från Googles kernelCTF-program. Det är också viktigt att notera att angriparen redan behöver lokal åtkomst till enheten, eftersom sårbarheten inte kan utlösas på distans.

Användare som uppdaterar manuellt bör tillämpa uppströms-commit a6dc643c6931. Alla andra bör vänta på sin distributions backport och installera den omedelbart. Eftersom epoll inte kan inaktiveras finns det ingen tillfällig lösning; endast uppdateringen löser problemet.