Il 26 giugno 2026 è diventato pubblico un exploit funzionante per una falla del kernel Linux soprannominata pedit COW (CVE-2026-46331). In pratica permette a un utente che ha già un accesso “normale” a un sistema Linux di ottenere i privilegi di root, cioè il controllo completo della macchina. Il codice dimostrativo è comparso online entro 24 ore dall’assegnazione della CVE, e la falla è confermata dal bollettino di sicurezza di Red Hat oltre che dalle principali testate di settore.
La debolezza è in un componente del kernel che gestisce il traffico di rete (l’azione act_pedit del sottosistema traffic control): un errore nel meccanismo di copia dei dati consente di corrompere l’immagine in memoria di un programma di sistema e, da lì, aprire una shell con i massimi privilegi. È presente nei kernel dalla versione 5.18 fino alla 7.1-rc6 ed è già stata corretta nella 7.1-rc7.
Cosa è successo, in breve
- È stata pubblicata CVE-2026-46331 (“pedit COW”), una falla del kernel Linux che consente l’escalation a root.
- Il 26 giugno è circolato un exploit pubblico funzionante; la CVE era stata assegnata il 16 giugno.
- È una falla locale: serve già un accesso al sistema. Non è un attacco che arriva direttamente da internet.
- È confermata dal vendor (bollettino Red Hat) ed è già corretta nelle versioni aggiornate del kernel; le distribuzioni stanno rilasciando le patch.
Una falla di 'privilege escalation' non apre la porta da fuori: trasforma un accesso limitato gia' presente nel controllo completo della macchina. Per questo conta su server dove piu' soggetti hanno un account.
Fonte: Red Hat RHSB-2026-008 — giugno 2026
”È solo locale”: perché allora dovrebbe preoccupare una PMI?
La tentazione è archiviare la notizia: “serve già un accesso al server, quindi a me non riguarda”. È un ragionamento pericoloso, per due motivi pratici.
Primo: tantissime PMI non hanno un server tutto loro, ma un VPS o un hosting condiviso. In questi ambienti più clienti convivono sulla stessa macchina fisica, e una falla che porta a root può significare che un altro account — o un attaccante che ne ha violato uno qualsiasi — arrivi a toccare anche i tuoi dati. La separazione tra clienti si regge proprio sul fatto che nessuno possa diventare root.
Secondo: una falla “locale” è spesso il secondo gradino di un attacco. Il primo gradino può essere un sito WordPress bucato, una password debole, un plugin vulnerabile: l’aggressore entra con privilegi limitati, poi usa una falla come questa per prendere il controllo totale. È la combinazione che trasforma un piccolo incidente in un disastro.
Raramente un attacco e' un solo colpo. Spesso e' 'entro con poco, poi scalo i privilegi'. Chiudere le falle di escalation toglie all'aggressore il gradino che trasforma un accesso minore in controllo completo.
Cosa fare, anche senza essere sistemisti
La buona notizia è che non devi metterci mano tu. La maggior parte delle PMI gestisce il server tramite un fornitore (hosting, cloud provider, consulente IT o sistemista esterno). L’azione concreta è chiedere, e farlo per iscritto:
- Manda una mail al tuo fornitore. Una frase basta: “È uscita la falla del kernel Linux CVE-2026-46331 con exploit pubblico. Potete confermarmi se i nostri server sono aggiornati a una versione del kernel corretta, e da quando?” Una risposta scritta vale come prova di diligenza.
- Pretendi il “cosa” e il “quando”. Non accontentarti di un “è tutto a posto”: chiedi quale versione è installata e la data dell’aggiornamento. Un fornitore serio risponde con precisione.
- Se gestisci tu un VPS, applica gli aggiornamenti del kernel forniti dalla tua distribuzione (la patch è disponibile) e pianifica il riavvio necessario perché abbiano effetto. In attesa, esiste una mitigazione documentata: limitare o disattivare i componenti coinvolti finché non aggiorni. Se non te la senti, è il momento giusto per coinvolgere un professionista.
- Sfrutta l’occasione per l’igiene di base. Account inutilizzati sul server, accessi SSH troppo larghi, pannelli raggiungibili da internet senza necessità: sono i “primi gradini” che rendono sfruttabile una falla come questa. Ridurli costa poco e protegge da molto.
In breve
CVE-2026-46331 è una falla reale del kernel Linux, con exploit pubblico dal 26 giugno e già corretta nelle versioni aggiornate. Non è un attacco che arriva da fuori, ma permette a chi ha un piede dentro di prendere il controllo totale della macchina — un rischio concreto su VPS e hosting condivisi, e un classico “secondo gradino” degli attacchi. Per una PMI l’azione non è tecnica ma organizzativa: chiedere al proprio fornitore conferma scritta che i server siano aggiornati, con tanto di versione e data. È la differenza tra subire un problema e averlo già chiuso.