Bad Epoll: Celah Kernel Linux yang Bisa Membuat Pengguna Biasa Menjadi Root

Pengantar

Sebuah kerentanan baru ditemukan pada kernel Linux dan diberi nama Bad Epoll. Celah keamanan ini dilacak dengan kode CVE-2026-46242.

Bad Epoll tergolong berbahaya karena dapat memungkinkan pengguna biasa yang tidak memiliki hak administrator untuk meningkatkan akses menjadi root. Dalam sistem Linux, root merupakan akun dengan hak tertinggi yang dapat mengubah konfigurasi, membaca hampir seluruh data, memasang program, dan mengambil alih sistem.

Kerentanan ini memengaruhi subsistem penting bernama epoll, yang digunakan oleh banyak aplikasi Linux untuk menangani koneksi dan aktivitas input-output secara efisien.

Apa Itu Epoll?

epoll adalah fitur di dalam kernel Linux yang digunakan untuk memantau banyak file descriptor secara bersamaan.

File descriptor dapat mewakili berbagai hal, seperti:

• Koneksi jaringan
• File yang sedang dibuka
• Socket
• Proses input dan output
• Komunikasi antarproses

Fitur ini banyak digunakan oleh web server, aplikasi jaringan, database, browser, dan layanan Linux lainnya.

Karena epoll merupakan bagian penting dari kernel, fitur tersebut tidak dapat dengan mudah dinonaktifkan sebagai langkah mitigasi sementara.

Bagaimana Bad Epoll Bisa Terjadi?

Bad Epoll terjadi akibat masalah yang disebut race condition dan use-after-free.

Race condition terjadi ketika dua proses atau dua bagian kode berjalan hampir bersamaan dan mengakses objek yang sama. Karena waktu eksekusinya tidak terkontrol dengan baik, kedua proses dapat saling bertabrakan.

Sementara itu, use-after-free terjadi ketika sebuah objek sudah dihapus atau dibebaskan dari memori, tetapi masih digunakan oleh proses lain.

Dalam kasus Bad Epoll, terdapat dua jalur yang dapat menutup dan menghapus objek epoll secara bersamaan.

Salah satu proses dapat membebaskan objek dari memori, sedangkan proses lain masih mengakses atau menulis data ke lokasi memori tersebut.

Kondisi inilah yang dapat menyebabkan kerusakan memori pada kernel Linux.

Bagaimana Serangan Dilakukan?

Untuk mengeksploitasi Bad Epoll, penyerang terlebih dahulu harus dapat menjalankan program atau proses di dalam sistem target.

Artinya, celah ini bukan serangan jarak jauh yang langsung dapat dijalankan melalui internet. Penyerang membutuhkan akses lokal atau kemampuan menjalankan kode pada sistem tersebut.

Secara sederhana, proses serangannya dapat digambarkan sebagai berikut:

1. Penyerang membuat banyak objek epoll.
2. Beberapa objek digunakan sebagai pemicu race condition.
3. Objek lainnya dijadikan target atau korban.
4. Penyerang mencoba membuat dua proses berjalan pada waktu yang sangat berdekatan.
5. Salah satu proses menghapus objek dari memori.
6. Proses lainnya masih menulis ke objek yang sudah dihapus.
7. Kerusakan memori kemudian digunakan untuk memengaruhi kernel.
8. Penyerang meningkatkan akses hingga mendapatkan hak root.

Eksploitasi terhadap kerentanan kernel biasanya sangat kompleks. Penyerang tidak cukup hanya menyebabkan program berhenti, tetapi harus mengubah kerusakan memori menjadi kemampuan membaca, menulis, atau mengendalikan eksekusi kernel.

Race Condition yang Sangat Sempit

Salah satu hal menarik dari Bad Epoll adalah jendela waktu race condition yang sangat sempit.

Menurut penelitian yang dipublikasikan, waktu yang tersedia untuk memicu kondisi tersebut hanya mencakup sekitar beberapa instruksi mesin.

Jika serangan dilakukan secara biasa, peluang keberhasilannya sangat kecil.

Namun, peneliti menemukan teknik untuk mengulang proses tersebut secara aman dan meningkatkan peluang keberhasilannya. Pada lingkungan pengujian kernelCTF, exploit dilaporkan memiliki tingkat keberhasilan yang sangat tinggi.

Hal ini menunjukkan bahwa race condition yang tampaknya sulit dipicu tetap dapat menjadi celah serius jika penyerang menemukan metode eksploitasi yang tepat.

Mengapa Bad Epoll Berbahaya?

Bad Epoll dianggap berbahaya karena menyerang komponen inti sistem operasi.

Jika eksploitasi berhasil, penyerang dapat memperoleh akses root. Dengan akses tersebut, penyerang dapat:

• Membaca data sensitif
• Mengubah konfigurasi sistem
• Membuat akun baru
• Mematikan layanan keamanan
• Memasang malware
• Menghapus log
• Mengambil alih server
• Mempertahankan akses dalam jangka panjang

Celah ini juga dapat digunakan sebagai bagian dari rangkaian serangan.

Sebagai contoh, penyerang lebih dahulu mengeksploitasi celah pada aplikasi untuk mendapatkan akses sebagai pengguna biasa. Setelah berada di dalam sistem, Bad Epoll kemudian digunakan untuk meningkatkan akses menjadi root.

Serangan semacam ini dikenal sebagai local privilege escalation.

Potensi Dampak terhadap Android

Android menggunakan kernel Linux sebagai dasar sistem operasinya. Karena itu, kerentanan pada kernel Linux juga dapat memengaruhi perangkat Android tertentu.

Perangkat yang menggunakan kernel berbasis Linux versi 6.4 atau lebih baru berpotensi terdampak, tergantung pada konfigurasi dan patch yang diterapkan oleh produsen.

Peneliti dilaporkan berhasil memicu kondisi use-after-free pada perangkat yang menggunakan kernel Linux 6.6 atau lebih baru.

Namun, keberhasilan memicu bug belum selalu berarti exploit root lengkap sudah tersedia untuk semua perangkat Android.

Eksploitasi Android sering kali lebih sulit karena adanya berbagai mekanisme keamanan tambahan, seperti:

• SELinux
• Android sandbox
• Address Space Layout Randomization
• Kernel hardening
• Pembatasan akses aplikasi

Walaupun demikian, produsen perangkat dan pengguna tetap perlu memperhatikan pembaruan keamanan.

Versi Linux yang Berpotensi Terdampak

Kerentanan ini disebut diperkenalkan melalui perubahan kode kernel pada April 2023.

Sistem yang menggunakan kernel berbasis Linux 6.4 atau lebih baru berpotensi terdampak.

Namun, nomor versi kernel tidak dapat dijadikan satu-satunya dasar untuk menentukan apakah sistem masih rentan.

Distribusi Linux seperti Ubuntu, Debian, Red Hat, SUSE, dan distribusi lainnya sering melakukan backport patch.

Backport berarti vendor mengambil perbaikan keamanan dari kernel terbaru, kemudian memasukkannya ke kernel versi lama yang masih mereka dukung.

Akibatnya, sebuah sistem mungkin masih menampilkan nomor kernel lama, tetapi sebenarnya sudah menerima perbaikan keamanan.

Sebaliknya, kernel dengan nomor versi yang terlihat baru belum tentu aman jika belum diperbarui oleh vendor.

Hubungan Bad Epoll dengan Penelitian AI

Kasus Bad Epoll juga menarik karena perubahan kode yang sama diketahui memperkenalkan lebih dari satu race condition.

Salah satu celah lain pada area kode tersebut ditemukan menggunakan bantuan model AI. Namun, Bad Epoll sendiri tidak terdeteksi oleh model tersebut.

Hal ini memperlihatkan bahwa AI dapat membantu proses pencarian kerentanan, tetapi belum dapat sepenuhnya menggantikan analisis manusia.

Race condition sangat sulit dideteksi karena bergantung pada:

• Urutan eksekusi
• Timing
• Interaksi antar-thread
• Pengelolaan memori
• Kondisi sistem saat berjalan

Sebuah bagian kode dapat terlihat aman ketika dibaca secara terpisah, tetapi menjadi berbahaya ketika dijalankan bersamaan dengan bagian lain.

Karena itu, audit kernel tetap membutuhkan kombinasi antara analisis manual, pengujian dinamis, fuzzing, dan alat bantu otomatis.

Penemuan dan Proses Pelaporan

Bad Epoll ditemukan oleh peneliti keamanan Jaeyoung Chung.

Kerentanan tersebut dilaporkan melalui program Google kernelCTF. Program ini memberikan penghargaan kepada peneliti yang berhasil menemukan dan mengeksploitasi kerentanan pada kernel Linux.

Laporan awal disebut dikirimkan kepada pengelola keamanan kernel Linux pada Februari 2026.

Setelah proses analisis dan perbaikan, patch kemudian dimasukkan ke kernel utama pada April 2026.

Proses pelaporan seperti ini penting agar pengelola kernel dan vendor Linux memiliki waktu untuk menyiapkan pembaruan sebelum detail teknis dipublikasikan secara luas.

Apakah Bad Epoll Sudah Digunakan dalam Serangan?

Pada saat informasi awal dipublikasikan, belum terdapat bukti kuat bahwa Bad Epoll telah digunakan secara luas dalam serangan dunia nyata.

Namun, detail teknis dan proof-of-concept untuk lingkungan pengujian telah tersedia secara publik.

Ketersediaan proof-of-concept dapat membantu peneliti dan vendor melakukan pengujian. Di sisi lain, informasi tersebut juga berpotensi dipelajari dan dikembangkan oleh pelaku serangan.

Karena itu, organisasi sebaiknya tidak menunggu sampai ditemukan eksploitasi aktif sebelum melakukan pembaruan.

Cara Memeriksa Versi Kernel Linux

Administrator dapat memeriksa versi kernel dengan perintah berikut:

uname -r

Untuk melihat informasi yang lebih lengkap, gunakan:

uname -a

Contoh hasilnya dapat terlihat seperti berikut:

Linux server 6.8.0-60-generic x86_64 GNU/Linux

Hasil tersebut menunjukkan versi kernel yang sedang digunakan.

Namun, sekali lagi, versi kernel saja belum cukup untuk memastikan apakah sistem masih rentan.

Administrator juga harus memeriksa advisory keamanan resmi dari distribusi yang digunakan.

Pada Ubuntu atau Debian, pembaruan dapat dilakukan menggunakan:

sudo apt update
sudo apt upgrade

Jika terdapat pembaruan kernel, sistem biasanya perlu di-restart:

sudo reboot

Setelah restart, periksa kembali kernel aktif:

uname -r

Pada Red Hat, Rocky Linux, AlmaLinux, atau Fedora, pembaruan dapat dilakukan menggunakan:

sudo dnf update

Setelah pembaruan selesai, lakukan restart jika kernel telah diperbarui.

Sistem yang Perlu Diprioritaskan

Tidak semua sistem memiliki tingkat risiko yang sama.

Pembaruan sebaiknya diprioritaskan pada:

• Server yang digunakan banyak pengguna
• Server hosting
• Sistem cloud
• Server container
• Workstation pengembang
• Sistem yang menjalankan kode dari pengguna
• Perangkat yang dapat diakses dari internet
• Sistem yang menyimpan data sensitif
• Perangkat Android dengan kernel terdampak

Server multi-user memiliki risiko lebih tinggi karena pengguna biasa mungkin memiliki kesempatan menjalankan program lokal.

Lingkungan container juga perlu diperhatikan. Walaupun aplikasi berjalan di dalam container, container tetap menggunakan kernel milik host.

Jika penyerang berhasil keluar dari pembatasan tertentu atau mengeksploitasi kernel host, dampaknya dapat meluas ke seluruh sistem.

Langkah Mitigasi

Tidak ada solusi sederhana seperti mematikan layanan epoll, karena fitur tersebut merupakan bagian penting dari kernel Linux.

Langkah mitigasi utama adalah memasang pembaruan kernel dari vendor resmi.

Administrator disarankan melakukan beberapa tindakan berikut:

1. Periksa versi kernel yang digunakan.
2. Periksa advisory keamanan dari distribusi Linux.
3. Jalankan pembaruan sistem.
4. Restart sistem setelah pembaruan kernel.
5. Pastikan sistem sudah menggunakan kernel yang telah diperbaiki.
6. Batasi akses shell bagi pengguna yang tidak memerlukannya.
7. Batasi kemampuan menjalankan kode pada server penting.
8. Pantau aktivitas privilege escalation.
9. Periksa proses dan akun mencurigakan.
10. Terapkan prinsip least privilege.

Organisasi juga perlu memiliki daftar aset yang mencatat sistem operasi dan versi kernel setiap server.

Tanpa inventarisasi yang baik, tim keamanan akan kesulitan mengetahui perangkat mana yang perlu diperbarui.

Pentingnya Patch Management

Bad Epoll kembali menunjukkan pentingnya patch management.

Banyak organisasi hanya fokus memperbarui aplikasi, tetapi lupa bahwa kernel juga membutuhkan pembaruan keamanan secara berkala.

Kerentanan kernel dapat memberikan dampak yang lebih besar karena kernel mengendalikan hampir seluruh sumber daya sistem.

Patch management yang baik setidaknya mencakup:

• Inventarisasi aset
• Pemantauan advisory keamanan
• Pengujian patch
• Penjadwalan maintenance
• Penerapan patch
• Restart sistem
• Verifikasi setelah pembaruan

Untuk server kritis, patch sebaiknya diuji terlebih dahulu pada lingkungan staging agar tidak mengganggu layanan produksi.

Namun, pengujian tersebut tidak boleh menjadi alasan untuk menunda pembaruan terlalu lama.

Kesimpulan

Bad Epoll merupakan kerentanan serius pada subsistem epoll di kernel Linux.

Celah ini terjadi akibat race condition dan use-after-free yang memungkinkan objek memori digunakan setelah dibebaskan.

Jika berhasil dieksploitasi, pengguna biasa dapat meningkatkan hak akses menjadi root dan mengambil alih sistem.

Walaupun serangan membutuhkan kemampuan menjalankan kode secara lokal, risikonya tetap tinggi, terutama pada server multi-user, lingkungan cloud, container, workstation, dan perangkat yang menjalankan aplikasi tidak tepercaya.

Administrator tidak cukup hanya memeriksa nomor versi kernel. Mereka juga harus memastikan bahwa patch keamanan dari vendor telah diterapkan.

Langkah terbaik adalah segera memeriksa advisory distribusi, memperbarui kernel, melakukan restart, dan memastikan sistem menjalankan versi yang telah diperbaiki.

Kasus Bad Epoll juga memperlihatkan bahwa kesalahan kecil pada pengelolaan memori dan sinkronisasi dapat menimbulkan risiko besar bagi jutaan perangkat berbasis Linux.