Scroll to top
    Zurück zum Blog
    IT-Sicherheit

    Kritische Linux-Lücke: Lokale Nutzer können fremde Dateien lesen

    Eine neue Schwachstelle im Linux-Kernel erlaubt lokalen Nutzern Zugriff auf fremde Dateien. Kernel 7.0.8 enthält ausschließlich diesen Fix – ein klares Signal für die Schwere.

    16.05.2026 8 min Lesezeit
    Kritische Linux-Kernel-Lücke ermöglicht lokalen Dateizugriff – Hacker liest fremde Dateien
    Teilen
    WhatsApp
    Telegram
    Facebook

    Auf einen Blick

    Eine neue Linux-Kernel-Schwachstelle erlaubt lokalen Nutzern, fremde Dateien zu lesen – ohne Root-Rechte. Kernel 7.0.8 enthält ausschließlich diesen Fix. Bis das Update über die Distribution ankommt, hilft als Sofortmaßnahme ptrace_scope = 3. Besonders gefährdet: Shared-Hosting, Container-Hosts, Dev-Server, CI/CD und Terminalserver.

    BetroffenLinux-Kernel (alle Mainline-Distros)
    PatchKernel 7.0.8 (nur Fix)
    PoC„ssh-keysign-pwn"
    Sofortmaßnahmeptrace_scope = 3

    Alarm bei Administratoren weltweit

    Eine aktuell bekannt gewordene Schwachstelle im Linux-Kernel sorgt derzeit für Alarm bei Administratoren und Sicherheitsforschern. Die Lücke ermöglicht es lokalen Nutzern unter bestimmten Bedingungen, auf fremde Dateien zuzugreifen und sensible Informationen auszulesen.

    Besonders brisant: Laut Kernel-Entwickler Greg Kroah-Hartman war die Sicherheitslücke so kritisch, dass Linux-Kernel 7.0.8 ausschließlich diesen Fix enthält. Weitere Änderungen oder Features wurden bewusst zurückgestellt, um die Schwachstelle schnellstmöglich zu schließen.

    Sicherheitsforscher demonstrieren Angriff

    Die Lücke wurde im Zusammenhang mit einem Proof-of-Concept namens „ssh-keysign-pwn" öffentlich demonstriert. Dabei kann ein lokaler Angreifer Mechanismen im Kernel missbrauchen, um auf Daten anderer Prozesse zuzugreifen.

    Betroffen sind insbesondere Systeme mit mehreren Benutzern oder Diensten:

    Welche Systeme besonders im Visier stehen

    Shared-Hosting

    Mehrere Kunden auf einem Host – ein Konto reicht für lateralen Zugriff.

    Entwickler-Server

    Build-Maschinen mit SSH-Keys, Tokens und Repository-Zugängen sind ein Hochwertziel.

    Universitätssysteme

    Multi-User-Umgebungen mit vielen Studierenden und schwach segmentierten Konten.

    Container-Hosts

    Mehrere Container teilen sich denselben Kernel – Containergrenzen sind keine Sicherheitsgrenze.

    CI/CD-Umgebungen

    Pipelines bauen fremden Code aus – ein bösartiger PR kann lokale Schwachstellen ausnutzen.

    Terminalserver

    Viele interaktive Sessions auf einer Maschine – klassische Eskalations-Spielwiese.

    Warum die Lücke gefährlich ist

    Auch wenn Angreifer zunächst lokalen Zugriff benötigen, stellt die Schwachstelle ein ernstes Risiko dar. In modernen Angriffsketten genügt oft bereits einer dieser Einstiege:

    ↳kompromittiertes Benutzerkonto
    ↳gehackter Webdienst (PHP, Node, Python)
    ↳Schadsoftware mit User-Rechten
    ↳gestohlener SSH-Zugang

    …um anschließend lokale Linux-Schwachstellen zur weiteren Eskalation auszunutzen. Dadurch könnten unter anderem folgende Daten abgegriffen werden:

    SSH-KeysZugangsdatenAPI-TokensSession-DateienKonfigurationenCloud-SecretsDB-Zugänge

    Kernel 7.0.8 enthält ausschließlich den Sicherheitsfix

    Kernel-Maintainer Greg Kroah-Hartman erklärte, dass die neue Kernel-Version 7.0.8 nur die Fehlerbehebung für diese Schwachstelle enthält. Das unterstreicht die hohe Priorität der Lücke innerhalb der Linux-Community.

    Wichtig: Da Linux-Distributionen die Kernel-Fixes erst in eigene Pakete integrieren und ausrollen müssen, kann es noch dauern, bis Updates flächendeckend verfügbar sind. Bis dahin zählt die temporäre Härtung.

    Temporäre Abhilfe für Administratoren

    Bis Sicherheitsupdates verfügbar sind, empfehlen die Entwickler eine temporäre Schutzmaßnahme über den sogenannten ptrace_scope. Mit folgendem Befehl lässt sich die bekannte Angriffsmethode zunächst blockieren:

    root@host: ~
    echo 3 > /proc/sys/kernel/yama/ptrace_scope
    # schränkt Debugging- und Prozesszugriffe ein

    Damit die Einstellung auch nach einem Neustart erhalten bleibt, kann sie dauerhaft gesetzt werden – z. B. in /etc/sysctl.d/99-yama.conf:

    /etc/sysctl.d/99-yama.conf
    kernel.yama.ptrace_scope = 3
    aktivieren
    sudo sysctl --system
    # Einstellungen einlesen und übernehmen

    Vorsicht bei Debugging-Tools

    Die Schutzmaßnahme kann Auswirkungen auf bestimmte Anwendungen und Debugging-Werkzeuge haben:

    gdb
    strace
    einige Entwicklungsumgebungen
    Debugging innerhalb von Containern

    Administratoren sollten produktive Umgebungen daher vorab testen.

    Sicherheitsupdates zeitnah installieren

    Sobald Distributionen aktualisierte Kernelpakete bereitstellen, sollten diese schnellstmöglich installiert werden.

    Debian / Ubuntu
    sudo apt update && sudo apt full-upgrade
    RHEL / AlmaLinux / Rocky
    sudo dnf update
    SUSE
    sudo zypper update
    Neustart
    sudo reboot
    # in den meisten Fällen erforderlich

    Hinweis: Patchen auf eigene Gefahr

    Die hier gezeigten Befehle und Konfigurationen werden auf eigenes Risiko ausgeführt. Ein falscher Befehl kann Systeme destabilisieren, Daten beschädigen oder Dienste unerreichbar machen. Wenn ihr unsicher seid, was ihr tut, kontaktiert lieber einen erfahrenen Administrator oder unsere Wasacon-Experten – wir helfen schnell und professionell.

    Linux bleibt sicher – aber lokale Angriffe nehmen zu

    Die Schwachstelle zeigt erneut, dass Linux-Systeme zwar äußerst robust sind, lokale Privilegieneskalationen jedoch weiterhin ein ernstes Risiko darstellen. Gerade Server mit mehreren Benutzern, Entwicklungsplattformen oder Container-Infrastrukturen sollten lokale Sicherheitslücken niemals unterschätzen.

    Moderne Angriffe beginnen heute oft nicht mehr direkt mit Root-Zugriff – sondern mit kleinen lokalen Schwachstellen, die anschließend systematisch eskaliert werden.

    Verwandte Begriffe

    LinuxPrivilege EscalationContainerZero TrustEDRXDRPatch Management

    Häufige Fragen

    Lokale Nutzer können unter bestimmten Bedingungen auf Dateien anderer Prozesse und Benutzer zugreifen. Damit lassen sich SSH-Keys, Tokens, Session-Daten und Konfigurationen anderer Konten auf demselben System auslesen – ohne Root-Rechte zu besitzen.

    Nein. Die Lücke ist eine lokale Privilegieneskalation: Ein normales Benutzerkonto oder ein kompromittierter Webdienst genügt. Genau deshalb ist sie so gefährlich in Shared-Hosting, Container-Hosts, Dev-Servern und Terminalservern.

    Als Sofortmaßnahme empfehlen die Kernel-Entwickler den ptrace_scope auf 3 zu setzen. Das blockiert die aktuell bekannten Ausnutzungsmethoden. Achtung: Debugging-Werkzeuge wie gdb und strace funktionieren danach nur noch eingeschränkt – in Produktion vorab testen.

    Alle Distributionen, die einen verwundbaren Kernel ausliefern – also faktisch der gesamte Mainstream-Stack: Debian, Ubuntu, RHEL, AlmaLinux, Rocky Linux, SUSE, Fedora. Die Distributionen müssen den Fix aus Kernel 7.0.8 in ihre eigenen Pakete einbauen und ausrollen.

    Greg Kroah-Hartman hat alle anderen geplanten Änderungen zurückgestellt, damit der Sicherheits-Patch so schnell wie möglich raus kann. Das zeigt deutlich, wie kritisch die Maintainer die Lücke einschätzen – ein Vorgehen, das es nur bei wenigen Schwachstellen pro Jahr gibt.

    Wer patcht eigentlich Ihre Linux-Server – und wer überwacht sie?

    Wasacon übernimmt Patch-Management, Härtung und 24/7-EDR/XDR-Monitoring für Linux-Server, Container-Hosts und Dev-Umgebungen im Kreis Heinsberg – damit lokale Lücken nicht zu lateralen Angriffen werden.

    Kostenlose Sicherheitsanalyse EDR & XDR ansehen

    Mehr zu Linux- & Server-Sicherheit

    Weitere aktuelle Analysen rund um Linux, Kernel-Lücken und Privilegieneskalation:

    Diskussion

    0 Beiträge

    Lade Kommentare …
    Neuer Kommentar
    0/2000

    E-Mail wird nur zur Verifizierung verwendet, nicht veröffentlicht. Beiträge werden manuell geprüft.

    IT-Budget Quick-Check

    Wie viel sollte Ihr Unternehmen jährlich in IT investieren?

    Risiko-Level: Mittel · Multiplikator: 1.2×

    Richtwerte auf Basis von BSI/NIST/ENISA-Branchenbenchmarks. Keine verbindliche Empfehlung.

    Das könnte Sie auch interessieren

    Sämtliche Dateien: Der Cloud-Vorfall der CDU Itzehoe
    IT-Sicherheit

    Sämtliche Dateien: Der Cloud-Vorfall der CDU Itzehoe

    Am 13. Oktober 2026 informiert die CDU Itzehoe über einen Sicherheitsvorfall in ihrer Managed Nextcloud. Angreifer konnten nach bisherigen Angaben sämtliche gespeicherten Dateien herunterladen – Kontakte, Mitgliedsdaten, interne Dokumente, möglicherweise Beitrags- und Bankdaten. Was der Fall für gemanagte Clouds heißt.

    12.11.202613 min
    Vom Netz und neu aufgesetzt: Der Angriff auf den Mailserver der Hamburger Grünen
    IT-Sicherheit

    Vom Netz und neu aufgesetzt: Der Angriff auf den Mailserver der Hamburger Grünen

    Am 1. Oktober 2026 entdecken die Hamburger Grünen bei einer Routineprüfung einen automatisierten Angriff auf ihren Mailserver. Mitgliedsdatenbank und Dateiserver bleiben unberührt, Hinweise auf einen Datenabfluss gibt es zunächst nicht. Was der Fall für geteilte IT in Parteien und Unternehmen heißt.

    12.11.202613 min
    Die Polizei war zuerst da: Der Datenabfluss bei Liftstar
    IT-Sicherheit

    Die Polizei war zuerst da: Der Datenabfluss bei Liftstar

    Am 23. September 2026 erfährt die Kölner Liftstar GmbH von der Polizei, dass Unbekannte einen Datenserver abgegriffen haben. Kopiert wurden Kunden- und Beschäftigtendaten, darunter Gesundheitsdaten und Fotos vom Einbau der Treppenlifte. Was der Fall für Unternehmen mit besonders schützenswerten Daten heißt.

    12.11.202613 min

    Haftungsausschluss: Die auf Wasacon bereitgestellten Inhalte dienen nur zu Informationszwecken. Wir garantieren nicht die Qualität, Genauigkeit oder Vollständigkeit der Informationen aus Drittquellen.

    Sind Zugangsdaten Ihres Unternehmens bereits im Umlauf?

    Wir prüfen Ihre Domain kostenlos gegen bekannte Infostealer- und Leak-Datenbanken – vertraulich und unverbindlich.

    Jetzt kostenlosen Check anfordern

    Bekannt aus

    Wasa Consult, Data Recovery Service, Heinsberg, Nordrhein-Westfalen