Linux: Schwachstelle CVE-2026-43037

Anfang Mai 2026 wurde im Linux-Kernel eine kritische Schwachstelle bekannt, über die Angreifende unter bestimmten Umständen, ohne Anmeldedaten kennen zu müssen, einen fremden Linux-Server dazu bringen können, Schadcode auszuführen (remote code execution, RCE). Linux-Clients sind theoretisch ebenfalls betroffen, in der Praxis aber selten das Ziel eines Angriffs.

Diese Sicherheitslücke trägt die Kennung CVE-2026-43037 und betrifft das Modul ip6_tunnel des Linux-Kernels. Der Schweregrad (CVSS) wird unterschiedlich definiert. Die Kernelentwickler geben ihn mit 9.8 an, andere mit 9.2 oder 8.8. Ein konkreter Exploitcode, mit dem die Schwachstelle ausgenutzt werden könnte, ist nicht öffentlich bekannt (Stand: 12. Juni 2026).

Informationen zu Linux-Distributionen

Die Schwachstelle besteht seit vielen Jahren, so dass alle großen Linux-Distributionen von der Schwachstelle betroffen waren. Die untenstehenden Angaben zur Verfügbarkeit von Updates spiegeln den Stand von Mitte Juni 2026 wieder. Über die jeweiligen Links können neuere Informationen zu erschienenen Updates abgerufen werden.

Red Hat Enterprise Linux (RHEL)

Updates sind für aktuelle Versionen verfügbar

• RHEL 8,9 und 10:
  Updates für den Kernel sind verfügbar und sollten eingespielt werden
• RHEL 6 und 7:
  Updates sind noch nicht verfügbar.

Ubuntu

Updates sind noch nicht erschienen.

• Ubuntu 26.04 LTS:
  Nach Herstellerangabe nicht betroffen
• Ubuntu 22.04 LTS, 24.04 LTS:
  Update steht noch aus

Debian

Updates sind seit ca. Ende Mai verfügbar.

Workaround

In Fällen, in denen keine aktualisierte Kernel-Pakete bereitstehen oder ein Reboot aktuell nicht möglich ist, kann als Workaround das Laden des betroffenen Moduls ip6_tunnel unterbunden werden. In den meisten Fällen können Linux-Server ohne dieses Modul betrieben werden. 

Das Laden des Moduls zu verhindern kann bei den meisten Linux-Distributionen (als root) über Anweisungen wie folgt geschehen:

echo 'install ip6_tunnel /bin/false' > /etc/modprobe.d/CVE-2026-43037.conf
rmmod ip6_tunnel 2>/dev/null

Auch nach Aktivierung des Workarounds sollten verfübare Kernel-Updates so bald wie möglich eingespielt werden.

Um den Workaround zurückzunehmen, nachdem eine abgesicherte Kernel-Version eingespielt und durch Reboot aktiviert wurde, wird die zuvor angelegte Modprobe-Datei wieder gelöscht:

/bin/rm /etc/modprobe.d/CVE-2026-43037.conf