Uma vulnerabilidade de alta severidade no PackageKit, camada de gerenciamento de pacotes presente em várias distribuições Linux, permite que qualquer usuário comum instale ou remova pacotes do sistema com permissões de administrador. A falha, chamada de Pack2TheRoot e identificada como CVE-2026-41651 com pontuação CVSS 8.8, explora uma janela entre o momento em que as permissões são verificadas e o momento em que são efetivamente usadas. Nesse intervalo, um atacante consegue substituir os valores e fazer o sistema executar a instalação com suas próprias permissões manipuladas. Todas as versões do PackageKit entre 1.0.2 e 1.3.4 são afetadas, cobrindo mais de 12 anos de lançamentos. Ubuntu, Debian, Fedora e RockyLinux foram confirmados como vulneráveis em instalações padrão. A falha foi descoberta pelo Red Team da Deutsche Telekom com auxílio do modelo Claude Opus e corrigida no PackageKit 1.3.5.

Die Signal-Stiftung reagiert auf verwirrende Berichte über Phishing in Deutschland und den Niederlanden. Sie erklärt, wie die Angreifer vorgehen.

Die Entwickler haben den DNS-basierten Werbeblocker Pi-hole aktualisiert. Das Update stopft hochriskante Sicherheitslecks.

A new vulnerability dubbed Pack2TheRoot could be exploited in the PackageKit daemon to allow local Linux users to install or remove system packages and gain root permissions. [...]

Pack2TheRoot (CVE-2026-41651), c'est le nom d'une faille de sécurité importante découverte dans un composant omniprésent sur Linux : PackageKit.

Security experts have found a high-severity flaw named Pack2TheRoot in PackageKit that allows hackers to gain full root access on multiple Linux distributions.

Si vous tournez sur Ubuntu, Debian, Fedora ou RockyLinux, sachez que votre démon PackageKit a passé presque 12 ans à laisser une porte ouverte vers votre compte root. La Deutsche Telekom Red Team vient en effet de publier Pack2theRoot (CVE-2026-41651), une faille notée 8.8/10 qui permet à n'importe quel utilisateur local de devenir root sans mot de passe. Pour corriger le soucis, mettez à jour vers PackageKit 1.3.5 ou le backport de votre distro. Pour vérifier votre version, c'est dpkg -l | grep -i packagekit sous Debian/Ubuntu, ou rpm -qa | grep -i packagekit côté Fedora et Rocky. Si vous êtes en 1.3.4 ou en dessous, considérez la machine comme exploitable. Le bug est une race condition classique. En fait PackageKit vérifie vos droits, valide la transaction, mais utilise des données qui ont eu le temps de changer entre les deux. Un appel pkcon install bien chronométré et n'importe quel paquet s'installe en root, sans prompt Polkit . La liste des distros confirmées vulnérables couvre Ubuntu 18.04 à 26.04, Debian Trixie, RockyLinux 10.1, Fedora 43 et tout RHEL avec Cockpit. Le détail marrant encore une fois c'est la méthode de découverte. La Telekom Red Team a tout simplement dirigé Claude Opus d' Anthropic vers la base de code de PackageKit, et c'est cette session d'audit assistée par IA qui a sorti la vuln. Les LLM commencent donc à trouver des bugs subtils que les audits humains ont laissé passer pendant plus d'une décennie. Tant mieux, ça va faire grimper le niveau de sécurité de nombreux projets ! Cette faille ancienne me rappelle BitPixie et son contournement de BitLocker resté en sommeil durant 20 ans. Le pattern est toujours le même, à savoir un composant système installé partout, qui cache un bug tout bête depuis siiii longtemps que plus personne ne l'audite avec un œil neuf. Bref, merci Claude ^^ Source

Pack2TheRoot (CVE-2026-41651) is a local privilege escalation (LPE) vulnerability that affects multiple Linux distributions in default installations.

Pack2TheRoot (CVE-2026-41651) is a local privilege escalation (LPE) vulnerability that affects multiple Linux distributions in default installations.

Pack2TheRoot (CVE-2026-41651), c'est le nom d'une faille de sécurité importante découverte dans un composant omniprésent sur Linux : PackageKit.

Si vous tournez sur Ubuntu, Debian, Fedora ou RockyLinux, sachez que votre démon PackageKit a passé presque 12 ans à laisser une porte ouverte vers votre ...

Uma vulnerabilidade de alta severidade no PackageKit permite que qualquer usuário comum de um sistema Linux instale ou remova pacotes como se fosse administrador. A falha foi batizada de Pack2TheRoot e é rastreada como CVE-2026-41651, com pontuação CVSS 3.1 de 8.8. A divulgação pública ocorreu nesta semana, após coordenação com os mantenedores das distribuições afetadas. O PackageKit é basicamente uma camada intermediária que permite gerenciar pacotes de software em diferentes distribuições Linux por meio de uma interface unificada. Ele é o componente responsável por instalar e remover programas em sistemas como Ubuntu e Fedora, inclusive a partir de interfaces gráficas. Prova de conceito desenvolvida pelo Red Team da Deutsche Telekom mostra a transição de uma conta sem privilégios para root em um Ubuntu 24.04 LTS. Os detalhes técnicos do exploit foram ocultados e não serão divulgados publicamente por enquanto. Imagem: GitHub. ## Uma corrida que o atacante sempre ganha O problema está em como o PackageKit lida com as permissões durante uma instalação. O fluxo normal exige que o usuário seja autorizado antes de qualquer pacote ser instalado. A falha permite burlar essa etapa. Isso é possível porque o sistema verifica as permissões em um momento, mas só lê essas permissões de verdade em outro. Entre os dois pontos, um atacante consegue trocar os valores. Quando a instalação finalmente acontece, o sistema usa as permissões manipuladas pelo atacante, não as originais. O resultado é a instalação de qualquer pacote como root, incluindo scripts embutidos nos pacotes, sem nenhuma senha ou autenticação. O problema está em três pontos específicos do arquivo src/pk-transaction.c, no código-fonte do PackageKit. A combinação das três falhas é o que torna a exploração confiável. ## Doze anos de superfície de ataque Todas as versões do PackageKit entre 1.0.2 e 1.3.4 são confirmadas como vulneráveis. A versão 1.0.2 foi lançada há mais de 12 anos. Os pesquisadores acreditam que o problema existe desde a versão 0.8.1, o que ampliaria a janela de exposição para 14 anos. A exploração foi confirmada em instalações padrão de Ubuntu Desktop 18.04, 24.04.4 e 26.04, Ubuntu Server 22.04 a 24.04, Debian Desktop Trixie 13.4, RockyLinux Desktop 10.1, e Fedora 43 Desktop e Server. O Red Team da Deutsche Telekom, que descobriu a vulnerabilidade, avisa que qualquer distribuição que instale o PackageKit com ele ativado deve ser considerada vulnerável. Isso inclui servidores com o projeto Cockpit instalado, ferramenta de administração web que usa o PackageKit como dependência. Sistemas Red Hat Enterprise Linux entram nesse grupo. A exploração não exige nenhum equipamento especial nem acesso físico privilegiado. Qualquer usuário com uma conta local no sistema consegue executar o ataque. ## Descoberta com auxílio de IA A vulnerabilidade foi encontrada pelo Red Team da Deutsche Telekom durante pesquisa focada em formas de escalar privilégios em sistemas Linux modernos. A equipe usou o modelo Claude Opus, da Anthropic, como auxílio na investigação. Segundo os pesquisadores, o modelo foi guiado em uma direção específica de análise, e os achados foram revisados e verificados manualmente antes de serem reportados de forma responsável. ## Rastreando uma exploração em segundos A falha é explorável em segundos, mas deixa rastros. Após a exploração, o daemon do PackageKit sofre uma falha interna e trava. O sistema o reinicia automaticamente, então não há interrupção visível para o usuário. O crash fica registrado nos logs e pode ser verificado com o comando journalctl --no-pager -u packagekit | grep -i emitted_finished. O PackageKit atua como camada intermediária entre o usuário e o gerenciador de pacotes do sistema operacional. É exatamente esse papel central que torna a falha tão abrangente. Para saber se o sistema está vulnerável, basta checar a versão instalada com dpkg -l | grep -i packagekit em sistemas Debian e Ubuntu, ou rpm -qa | grep -i packagekit em Fedora e RHEL. A correção está disponível no PackageKit 1.3.5, com atualizações já distribuídas por Debian, Ubuntu e Fedora a partir de 22 de abril de 2026. Acompanhe o TecMundo nas redes sociais. Para mais notícias de segurança e tecnologia, inscreva-se em nossa newsletter e canal do YouTube.

A new proof-of-concept exploit for the patched Linux privilege escalation flaw PinTheft can let local attackers gain root on Arch Linux systems under specific conditions. The issue affects the RDS kernel module and comes amid other recently disclosed Linux LPE bugs, including DirtyDecrypt, DirtyCBC, Copy Fail, and Pack2TheRoot. #PinTheft #ArchLinux #RDS #DirtyDecrypt #DirtyCBC #CopyFail #Pack2TheRoot

Linux distros are deploying patches for Fragnasia (CVE-2026-46300), a high-severity Linux kernel flaw in the XFRM ESP-in-TCP subsystem that can let unprivileged local attackers gain root privileges. The issue is linked to the Dirty Frag vulnerability class and comes as administrators are also dealing with the actively exploited Copy Fail flaw and earlier root-level bugs like Pack2TheRoot. #Fragnasia #CVE-2026-46300 #DirtyFrag #CopyFail #Pack2TheRoot #XFRM

Pack2TheRoot is a high-severity TOCTOU race condition in PackageKit (CVE-2026-41651) that allows unprivileged users to install arbitrary RPM packages with root privileges by corrupting transaction flags. The flaw, disclosed by Deutsche Telekom’s Red Team, affects many distributions shipping vulnerable PackageKit versions and was fixed in PackageKit 1.3.5 with patches rolled into...

A new local privilege-escalation vulnerability dubbed Pack2TheRoot (CVE-2026-41651) in the PackageKit daemon can allow local Linux users to install or remove system packages and gain root privileges. The flaw, present since PackageKit 1.0.2 (Nov 2014) through 1.3.4, was reported by the Deutsche Telekom Red Team and fixed in PackageKit 1.3.5; users should patch immediately. #Pack2TheRoot #CVE-2026-41651

Pack2TheRoot (CVE-2026-41651) is a high-severity local privilege escalation flaw in PackageKit that lets any unprivileged user win a race condition during InstallFiles and gain root on default Linux installs. Here is how it works, how it is exploited, and how to defend against it.