Debian 13 corregge Zapscape, SCTPhantom e altre 26 falle del kernel

🐧 Novità principali

• Debian 13 Trixie distribuisce un nuovo aggiornamento del kernel che corregge complessivamente 28 vulnerabilità di sicurezza.
• Zapscape colpisce KVM/x86 e può consentire escape da una macchina virtuale nested verso l’host in configurazioni vulnerabili.
• SCTPhantom è una use-after-free presente nel codice SCTP da circa 18 anni e può portare a privilege escalation locale fino a root.

Debian 13 “Trixie” riceve un nuovo aggiornamento di sicurezza del kernel Linux che corregge complessivamente 28 vulnerabilità, comprese due delle falle più rilevanti emerse nelle ultime settimane: Zapscape e SCTPhantom. La prima interessa la virtualizzazione KVM/x86 e può consentire a un guest privilegiato di superare l’isolamento in configurazioni con nested virtualization, mentre la seconda riguarda il sottosistema SCTP e deriva da una use-after-free presente nel kernel da circa diciotto anni. L’update arriva dopo il precedente aggiornamento Debian 13 che aveva già corretto 68 vulnerabilità del kernel e conferma il ritmo particolarmente elevato delle correzioni distribuite sul ramo stabile.

Debian 13 chiude 28 vulnerabilità nel kernel Linux

Il nuovo aggiornamento interessa il pacchetto linux di Debian 13 e riunisce correzioni provenienti dai rami upstream del kernel per vulnerabilità capaci, a seconda del componente coinvolto, di provocare privilege escalation, denial of service, memory corruption o information disclosure. Debian mantiene il ramo stabile 6.12 attraverso backport selettivi, quindi l’assenza di un numero di versione upstream recente non implica l’assenza delle patch: le correzioni vengono integrate direttamente nel kernel distribuito con Trixie. Il modello è lo stesso utilizzato nel precedente Debian Security Advisory DSA-6393-1, nel quale il progetto aveva già corretto una nuova serie di falle mantenendo il ramo stabile della distribuzione. La frequenza di questi interventi assume particolare importanza dopo la crescita delle vulnerabilità locali nel kernel Linux sfruttabili per ottenere privilegi elevati e dopo la comparsa di exploit sviluppati con l’assistenza dell’intelligenza artificiale contro il kernel. Gli amministratori di Debian 13 devono quindi trattare il kernel come qualsiasi altro componente esposto al ciclo ordinario di patching e non attendere necessariamente la successiva point release della distribuzione.

Zapscape mette in discussione l’isolamento KVM

Tra le correzioni più importanti compare Zapscape, identificata come CVE-2026-64561, vulnerabilità nella shadow MMU di KVM/x86. Il bug è una use-after-free che può verificarsi quando KVM gestisce il reclaim delle shadow page durante un page fault e continua a utilizzare una root diventata nel frattempo invalida. In determinate configurazioni di nested virtualization, un guest L1 privilegiato può sfruttare la condizione per ottenere primitive di corruzione della memoria e tentare di raggiungere l’host. La dimostrazione pubblica sviluppata dai ricercatori è arrivata fino alla creazione di un file con privilegi root sull’host Linux, mostrando quindi un impatto che supera il semplice crash dell’hypervisor. Il problema è particolarmente rilevante per cloud privati, laboratori, infrastrutture CI e ambienti nei quali macchine virtuali gestiscono a loro volta altri guest, scenari già resi delicati dalle precedenti vulnerabilità KVM capaci di compromettere il confine tra guest e host. La virtualizzazione è inoltre diventata sempre più centrale nelle distribuzioni Linux moderne, come mostra l’evoluzione di Ubuntu 26.04 con nuovi componenti HWE e virtualizzazione aggiornata, aumentando il valore delle correzioni applicate direttamente al layer KVM.

SCTPhantom corregge un errore SCTP vecchio di 18 anni

La seconda falla di maggiore rilievo è CVE-2026-64564, denominata SCTPhantom, una use-after-free nella gestione del protocollo SCTP presente nel kernel fin dal 2008. Il problema nasce nel percorso utilizzato per la riconfigurazione dinamica degli indirizzi attraverso i blocchi ASCONF: una struttura transport può essere liberata e successivamente riutilizzata attraverso un puntatore dangling. I ricercatori di Tencent hanno dimostrato che il bug può essere trasformato in primitive di lettura e scrittura della memoria del kernel, superamento di KASLR ed escalation fino a root. La catena è stata validata su più distribuzioni e, in alcune configurazioni containerizzate, ha consentito anche di superare il confine del container verso l’host. La durata eccezionalmente lunga della vulnerabilità conferma quanto codice poco frequentemente utilizzato possa rimanere inosservato per anni, un fenomeno già emerso con vecchie falle Linux riapparse in componenti di sistema dopo decenni di sviluppo e con Dirty Pipe, che aveva dimostrato la capacità di una falla kernel di trasformarsi rapidamente in privilege escalation. Nei sistemi dove SCTP non è necessario, ridurne l’esposizione resta una misura aggiuntiva utile, ma la correzione del kernel rimane la protezione principale.

Il rischio cresce su server, hypervisor e container host

Zapscape e SCTPhantom condividono una caratteristica importante: entrambe diventano particolarmente pericolose quando il kernel Linux rappresenta il confine di isolamento tra workload differenti. Zapscape riguarda direttamente KVM, mentre SCTPhantom può diventare più grave negli ambienti containerizzati quando l’attaccante dispone delle primitive e dei namespace necessari a raggiungere il kernel host. Questo tipo di rischio è sempre più rilevante nei server Debian utilizzati per Docker, Podman, Kubernetes, QEMU e piattaforme di virtualizzazione, dove una vulnerabilità locale può assumere un impatto superiore rispetto a una normale workstation. La superficie è già stata evidenziata dalle campagne TeamPCP contro Docker e Kubernetes e dalle vulnerabilità che hanno interessato container, runtime e ambienti cloud Linux. Il nuovo aggiornamento Debian non riguarda però esclusivamente queste due CVE: il totale di 28 falle corrette indica che il pacchetto include interventi distribuiti su più sottosistemi del kernel, rendendo l’aggiornamento raccomandabile anche sui sistemi che non utilizzano né nested KVM né SCTP.

Gli amministratori Debian devono aggiornare e riavviare il sistema

Per applicare effettivamente le correzioni non basta scaricare i nuovi pacchetti: dopo l’aggiornamento è necessario riavviare il sistema sul kernel corretto, salvo l’utilizzo di infrastrutture specifiche per il live patching. Gli amministratori possono verificare la disponibilità degli aggiornamenti attraverso APT e controllare successivamente con uname -r quale kernel sia realmente in esecuzione. Il Debian Security Tracker rimane il riferimento ufficiale per verificare lo stato delle singole CVE nel pacchetto linux e distinguere tra vulnerabilità corrette, non applicabili o ancora aperte sul ramo stabile. La rapidità nel patching assume particolare importanza anche alla luce della transizione da Debian 12 a Debian 13 Trixie come base stabile di lungo periodo e della crescente adozione di Trixie su server e workstation. Zapscape e SCTPhantom mostrano soprattutto perché gli aggiornamenti kernel non devono essere trattati come interventi differibili: nel primo caso è in gioco l’isolamento delle macchine virtuali, nel secondo una debolezza di memoria può trasformarsi in accesso root. Su infrastrutture multiutente e virtualizzate, entrambe incidono direttamente sul confine di fiducia che separa il singolo workload dal sistema operativo host.