Telah ditemukan celah privilege escalation baru di Linux kernel, DirtyClone (CVE-2026-43503, CVSS 8.8), yang memungkinkan pengguna lokal mendapatkan akses root lewat cloned network packets. Celah ini pertama kali didemokan secara publik pada 25 Juni 2026, dan patch-nya sudah dirilis pada 21 Mei 2026. Vulnerability ini cukup parah dan jadi ancaman serius buat sistem Linux.

Attacker akan memuat binary dengan privilege seperti /usr/bin/su ke dalam memori, lalu menghubungkan halaman memori itu ke network packet, dan memaksa kernel untuk meng-clone-nya. Packet yang sudah di-clone ini lewat IPsec tunnel yang dikontrol attacker, dan proses dekripsi akan menimpa pengecekan login binary dengan byte yang dipilih attacker. Jadi, saat siapa pun menjalankan su, akses root langsung diberikan. File di disk sama sekali nggak berubah. Modifikasi ini cuma ada di salinan memori kernel, jadi file-integrity tools nggak bakal mendeteksi, serangan ini nggak ninggalin jejak audit, dan reboot akan mengembalikan binary ke kondisi semula.

Sistem Linux, khususnya Debian, Ubuntu, dan Fedora dengan konfigurasi namespace default. Sistem yang rentan biasanya multi-tenant server, CI runner, container host, dan Kubernetes cluster di mana user yang nggak dipercaya bisa bikin namespace.

1. Install update kernel dari distribusi kamu. Patch-nya sudah masuk upstream di v7.1-rc5 dan sudah di-backport ke branch stable dan LTS.
2. Kalau belum bisa patch hari ini, batasi unprivileged user namespaces: di Debian dan Ubuntu, set kernel.unprivileged_userns_clone=0.
3. Atau, blacklist module kernel esp4, esp6, dan rxrpc, tapi ini bakal bikin IPsec dan AFS nggak jalan dan cuma efektif kalau fitur itu berupa loadable module, bukan yang sudah dikompilasi ke kernel.