RefluXFS to podatność LPE w jądrze Linuksa (CVSS 7.8). Wyścig na ścieżce copy-on-write XFS pozwala nieuprzywilejowanemu użytkownikowi nadpisać dowolny czytelny plik na dysku i zostać rootem. Działa nawet przy SELinux Enforcing.

Jak działa live patching jądra Linux: przekierowanie funkcji przez ftrace, model spójności, podsystem livepatch oraz narzędzia kpatch, Ksplice, kGraft, Canonical Livepatch i KernelCare. Praktyka i ograniczenia.

Januscape to podatność w KVM pozwalająca gościowi uciec na hosta. Błąd w shadow MMU sprzed 16 lat, działa na Intelu i AMD, obala izolację środowisk wielodostępnych. Wymaga nested virtualization.

DirtyClone to podatność LPE w jądrze Linuksa (CVSS 8.8). Lokalny użytkownik zdobywa roota, nadpisując /usr/bin/su w page cache przez sklonowany pakiet sieciowy. Bez zmian na dysku, bez logów.

Linux 7.1 trafił do mainline 14 czerwca 2026. Napisany od zera sterownik NTFS, Intel FRED domyślnie, nowe flagi clone3(), sub-schedulery w sched_ext i więcej.

Czym jest eBPF i co realnie da się dzięki niemu zrobić: obserwowalność z bpftrace, filtrowanie pakietów w XDP, bezpieczeństwo runtime i hardening. Praktyczny przewodnik.

Nowa zakładka Moduły w Kernel Security Checker: wklejasz wynik lsmod, dostajesz listę modułów będących zbędną powierzchnią ataku i powiązanych z CVE, plus gotową blacklistę do /etc/modprobe.d/.

Tydzień po CopyFailu ten sam badacz znalazł kolejną eskalację przez page cache. Dirty Frag to łańcuch dwóch podatności w ESP (IPsec) i RxRPC. Co to jest, kogo dotyczy i jak się bronić.

Nowa sekcja Podatności w Kernel Security Checker: wpisujesz wersję kernela, dostajesz listę znanych publicznych exploitów dopasowanych do Twojego jądra.

Porównanie trzech głośnych podatności kernela: Dirty COW, Dirty Pipe i CopyFail. Różne mechanizmy, ten sam efekt: zapis do page cache i eskalacja uprawnień.