O vulnerabilitate severă descoperită în daemonul PackageKit afectează multiple distribuții Linux și permite escaladarea privilegiilor la nivel root. Identificată ca CVE-2026-41651, problema a fost descoperită cu ajutorul tehnicilor asistate de inteligență artificială.
PackageKit este un serviciu responsabil pentru gestionarea pachetelor software. Vulnerabilitatea permite unui utilizator local fără privilegii să instaleze sau să elimine aplicații.
Distribuțiile afectate includ mai multe sisteme populare utilizate atât în medii enterprise, cât și personale. Accesul root oferă control complet asupra sistemului, inclusiv asupra datelor și proceselor critice.
În mediile enterprise, acest lucru poate duce la compromiterea infrastructurii, persistență pe termen lung, pivotarea atacului în rețea.
Un aspect notabil este faptul că vulnerabilitatea a fost identificată la 12 ani de la introducerea sa folosind tehnici bazate pe modelul de inteligență artificială Claude Opus de la Anthropic, menționează cercetătorii echipei red team de la Deutsche Telekom.
Trebuie menționat că și atacatorii au început să integreze tehnologia AI în atacuri, folosind-o pentru a descoperi noi vulnerabilități, crearea de malware, sau pentru extinderea în rețea.
Vulnerabilitatea a apărut în versiunea PackageKit 1.0.2, lansată în 2014. Buletinul de securitate al dezvoltatorului informează că toate versiunile până la 1.3.5.
Problema a fost remediată în versiunea PackageKit 1.3.5. Actualizarea este esențială pentru toate sistemele afectate.
Se recomandă verificarea versiunii instalate și aplicarea patch-ului cât mai rapid. În plus, limitarea accesului local și monitorizarea activităților suspecte pot reduce riscurile.
Deutsche Telekom a denumit problema Pack2TheRoot și spune că exploatarea sa duce la un crash al daemonului PacketKit, ceea ce poate fi utilizat ca și indicator de compromitere a sistemului, pentru că evenimentul se înregistrează în loguri, chiar dacă systemd reinițiază daemonul.
Cercetătorii au dezvoltat un exploit demonstrativ dar au decis să nu împărtășească detalii până la un nivel suficient de mare de instalare a patch-ului.
