CVE-2026-43499 — Linux 内核 rtmutex 释放后使用（UAF）漏洞
漏洞概述
CVE-2026-43499 是 Linux 内核 rtmutex（实时互斥锁）子系统中存在的一个 释放后使用（Use-After-Free, UAF） 漏洞。该漏洞位于 remove_waiter() 函数中，其在 futex_requeue() 调用 rt_mutex_start_proxy_lock() 进行代理锁回滚时，错误地使用了 当前任务（current） 而非 正确的 waiter::task 进行出队操作，引发竞态条件，导致：
- 红黑树出队时未持有
waiter::task::pi_lock； - 等待任务的
pi_blocked_on状态未被清除，留下悬空指针，可被利用实现基于栈的 UAF； rt_mutex_adjust_prio_chain()操作了错误的优先级等待任务。
该漏洞被归类为 CWE-416: Use After Free。
漏洞编号： CVE-2026-43499
CVSS 3.1 评分： 7.8
向量：CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
影响范围
该漏洞影响 Linux 内核 v2.6.38 起至当前版本 的所有发行版，影响面极广：
- 桌面系统（如 Ubuntu、Debian、Fedora 等）
- 服务器系统（如 RHEL、Oracle Linux、SUSE 等）
- Android 设备
- 嵌入式 Linux 系统
前提条件： 启用了 CONFIG_FUTEX_PI 内核配置项（据研究，所有主流发行版默认启用）。
受影响发行版及修复状态
| 发行版 | 状态 | 修复版本 / 公告 |
|---|---|---|
| 上游主线内核 | ✅ 已修复 | 内核 6.12、6.18 及更高版本 |
| Amazon Linux 2023 | ✅ 已修复 (2026-06-22) | ALAS2023-2026-1882 |
| Oracle Linux 9 / 10 | ✅ 已修复 (2026-06-16 / 2026-07-02) | ELSA-2026-50319 / ELSA-2026-50372 |
| Debian 13 | ✅ 已修复 (2026-07-02) | 6.12.86-1 |
| SUSE SLE 15-SP7 | ✅ 已修复 | SUSE-SLE-...-2026-2482 |
| Ubuntu 22.04 LTS (jammy) | ⏳ 处理中（Medium 优先级） | 暂无 |
| Ubuntu 24.04 LTS (noble) | ❌ 存在漏洞 | 暂无 |
| Amazon Linux 2 | ❌ 待修复 | 暂无 |
| Red Hat Enterprise Linux | 待确认 | 暂无 |
漏洞利用情况
该漏洞已被 Nebula Security 在名为 "IonStack" 的高级攻击链中成功利用，与 Firefox JIT 0-day（CVE-2026-10702）配合使用，实现从远程代码执行到内核提权的完整攻击流程。
- 成功率： 在 Linux 6.12 上实现 10/10 的稳定提权；
- Android 平台： 同样报告了高成功率；
- 无需特殊内核模块： 仅需
CONFIG_FUTEX_PI，攻击通用性强； - 存活时间： 该漏洞已在内核中存在 超过 15 年（自 v2.6.38 起）。
修复建议
立即措施
更新内核至已修复版本：
- 主线内核升级至 6.12 及以上 或 6.18 及以上；
- 各发行版用户应用对应的安全补丁（见上表）。
临时缓解措施（如无法立即更新）：
- 限制本地用户对受影响系统的访问权限；
- 监控异常的系统调用行为（特别是
futex相关操作）； - 考虑禁用
CONFIG_FUTEX_PI（但可能影响系统功能和性能）。
长期措施
- 建立内核安全更新的快速部署流程；
- 关注各发行版安全公告，及时应用补丁；
- 部署 EDR/异常检测系统监控潜在的提权攻击行为。