اکسپلویت جدید pedit COW در لینوکس دسترسی روت را از طریق مسموم‌سازی باینری‌های کش‌شده ممکن می‌سازد

یک آسیب‌پذیری در زیرسیستم کنترل ترافیک (traffic-control) هسته لینوکس، با شناسه CVE-2026-46331 و نام مستعار «pedit COW»، به کاربران محلی بدون امتیاز اجازه می‌دهد تا دسترسی روت (root) را بر روی سیستم‌های آسیب‌پذیر به دست آورند. این نقص از نوع نوشتن خارج از محدوده (out-of-bounds write) در ماژول ویرایش بسته‌های شبکه (act_pedit) است که حافظه مشترک کش صفحه (page-cache) را خراب می‌کند. تنها یک روز پس از انتشار شناسه CVE در ۱۶ ژوئن، یک اکسپلویت (exploit) عمومی و کارآمد منتشر شد. این اکسپلویت به جای دستکاری فایل روی دیسک، نسخه کش‌شده یک باینری setuid روت در حافظه را مسموم کرده و یک پیلود (payload) کوچک تزریق می‌کند؛ در نتیجه بررسی‌های یکپارچگی فایل (file-integrity checks) هیچ تغییری را شناسایی نمی‌کنند، در حالی که پوسته روت (root shell) از پیش باز شده است.

سیستم‌های آسیب‌پذیر شامل RHEL 8، 9 و 10، Debian 13 (trixie) و Ubuntu از نسخه ۱۸.۰۴ تا ۲۶.۰۴ می‌شوند. دبیان نسخه trixie را از طریق کانال امنیتی خود وصله کرده، اما نسخه‌های ۱۱ و ۱۲ همچنان آسیب‌پذیر هستند. برای رفع این مشکل، نصب هسته وصله‌شده و راه‌اندازی مجدد سیستم توصیه می‌شود. در صورت عدم امکان وصله فوری، دو راهکار موقت وجود دارد: مسدود کردن بارگذاری ماژول act_pedit یا غیرفعال کردن فضاهای نام کاربری بدون امتیاز (unprivileged user namespaces)؛ هرچند گزینه دوم ممکن است عملکرد کانتینرهای بدون روت (rootless containers) و برخی محیط‌های CI را مختل کند. از آنجا که این آسیب‌پذیری حافظه کش را هدف قرار می‌دهد، ابزارهای بررسی یکپارچگی فایل قادر به شناسایی آن نیستند و هرگونه سیستم در معرض خطر باید به عنوان سیستم نفوذپذیر شده تلقی شود.