Eine Linux SCTP Sicherheitslücke mit dem Namen SCTPhantom versetzt Angreifer in die Lage, aus einem gewöhnlichen Benutzerkonto heraus vollständige root-Rechte zu erlangen – und im Zweifel sogar aus einem Container auf das darunterliegende Host-System auszubrechen. Der Fehler steckt tief im Netzwerk-Stack des Kernels und ist fast 18 Jahre alt. Das Linux-Kernel-CVE-Team hat ihn am 4. August 2026 offiziell als CVE-2026-64564 bekanntgegeben, die öffentliche Offenlegung folgte am 6. August. Wer eigene Server oder Container betreibt, sollte jetzt handeln.
Was ist die Linux SCTP Sicherheitslücke SCTPhantom?
SCTPhantom ist eine Use-after-free-Schwachstelle im Stream Control Transmission Protocol (SCTP) des Linux-Kernels. Betroffen ist die Funktion zur dynamischen Adress-Rekonfiguration (ASCONF), mit der eine SCTP-Verbindung Netzwerkpfade im laufenden Betrieb hinzufügen, entfernen oder umkonfigurieren kann. Der Ursprung des Fehlers reicht bis zu Kernel-Code aus dem Jahr 2007 zurück – konkret bis Linux 2.6.25.
Klartext ins Postfach
KI, Security & Crypto – die wichtigsten Analysen, kein Spam. Jederzeit abbestellbar.
Der Kern des Problems ist ein Identitäts-Konflikt: Der Kernel prüft eine „DEL-IP”-Löschoperation anhand der Absenderadresse des Pakets, während ein separat zwischengespeicherter Zeiger sich auf den Adressparameter stützt, der den eigentlichen Netzwerkpfad auswählt. Diese Diskrepanz lässt sich ausnutzen, um bereits freigegebenen Speicher weiterzuverwenden – der klassische Ausgangspunkt für eine Rechteausweitung.
Vom Netzwerkprotokoll zu vollem root-Zugriff
Wichtig für die Risikobewertung: Die Lücke ist lokal, nicht aus der Ferne ausnutzbar. Ein Angreifer braucht also bereits einen Fuß auf dem System, etwa ein normales Benutzerkonto. Zusätzlich muss SCTP auf dem Ziel erreichbar sein. Das begrenzt die Angriffsfläche spürbar, entwertet die Schwachstelle aber nicht: Aus wenig Rechten werden viele.
Das Forschungsteam von Tencent Zhuque Lab hat den Angriff nach eigenen Angaben auf Kernel-Builds von Debian 13, Ubuntu 24.04, Rocky Linux 9, RHEL 9 und OpenCloudOS bis zu root durchgespielt. Laut Tencents eigener – bislang extern nicht reproduzierter – Demonstration lässt sich der Fehler in geeigneten Setups auch für einen Container-Ausbruch missbrauchen. Damit ist er besonders für Kubernetes- und Container-Umgebungen relevant, in denen der Kernel zwischen Gast und Host geteilt wird.
Diese Systeme sind betroffen – und diese Patches gibt es
Da der Fehler seit 2007 im Code steckt, sind praktisch alle modernen Linux-Distributionen mit verwundbarem Kernel angreifbar. Fixes wurden bereits am 3. August in die stabilen Kernel-Zweige zurückportiert, darunter die Versionen 6.6.148, 6.12.101, 6.18.42 und 7.1.6. Die großen Distributionen liefern die Korrekturen über ihre regulären Sicherheitsupdates aus.
Was Admins jetzt tun sollten
- Kernel patchen: Aktuelle Sicherheitsupdates der Distribution einspielen und die Systeme neu starten, damit der neue Kernel wirklich läuft.
- SCTP deaktivieren, wenn ungenutzt: Viele Server brauchen SCTP nicht. Wo das Modul nicht benötigt wird, lässt es sich per Blacklist (modprobe) laden-verhindern und so die Angriffsfläche schließen.
- Container-Hosts priorisieren: Wegen des möglichen Container-Ausbruchs zuerst geteilte Kernel-Hosts absichern.
- Least Privilege prüfen: Da der Angriff lokalen Zugang voraussetzt, zahlt sich jede Einschränkung von Benutzerrechten und interaktiven Logins doppelt aus.
Einordnung: KI findet die alten Leichen im Kernel
Bemerkenswert ist, wie SCTPhantom gefunden wurde. Tencent schreibt den Fund seiner KI-Pipeline „Corvus AI” zu, einem Multi-Agenten-System für Kernel-Forschung. Damit reiht sich die Lücke in eine Serie lang schlummernder Fehler ein, die 2026 mit maschineller Unterstützung ans Licht kommen. Dass ausgerechnet KI-Werkzeuge die Zahl der gemeldeten Schwachstellen nach oben treiben, ist ein Muster, das sich gerade verfestigt – mehr dazu in unserem Beitrag KI-gestützte Schwachstellensuche verdoppelt die CVE-Zahlen 2026. Wer Linux-Server im Griff behalten will, sollte solche Advisories künftig noch enger verfolgen – auch abseits der klassischen Distributions-Kanäle wie zuletzt bei der Angriffswelle im Arch Linux AUR.
Quellen
- NVD – CVE-2026-64564
- oss-security – CVE-2026-64564: Linux SCTP ASCONF transport UAF
- The Hacker News – 18-Year-Old Linux SCTP Flaw Could Let Local Users Gain Root and Escape Containers
- Cybersecurity News – 18-Year-Old Linux Kernel SCTP Vulnerability
Diese Analysen als Newsletter
Ein Mal pro Woche Klartext zu KI, Security & Crypto – direkt in dein Postfach.
Jetzt anmelden