Даже изолированное приложение может открыть путь к полному контролю над системой, если ошибка возникает ещё на этапе создания защитной среды. Недавняя уязвимость CVE-2026-8933 в компоненте snap-confine (7.8 по шкале CVSS 3.1) позволяет обычному локальному пользователю получить права суперпользователя в стандартных установках Ubuntu Desktop 24.04, 25.10 и 26.04.

По данным Qualys, Snap-confine входит в службу snapd, которая устанавливает и запускает приложения в формате Snap. Компонент подготавливает для программы изолированную среду, ограничивающую доступ к файлам и другим ресурсам системы. Ошибка появилась после усиления защиты, которое должно было сократить привилегии процесса, но создало так называемое состояние гонки.

Во время запуска Snap-приложения snap-confine создаёт временные файлы и каталоги в папке /tmp. Сначала ими владеет обычный пользователь, а спустя короткое время система передаёт права root. В этом промежутке атакующий может подменить временный каталог вредоносной файловой системой FUSE и сохранить доступ к нему за пределами изолированной среды.

Затем атакующий создаёт символическую ссылку, которая перенаправляет запись в выбранный системный файл. Snap-confine следует по ссылке и записывает данные уже в защищённую область. Второе состояние гонки позволяет заранее расширить права доступа к файлу, пока система не передала его пользователю root.

В показанном специалистами сценарии вредоносный файл правил помещался в каталог /run/udev/rules.d/. После подключения и отключения FUSE система запускала записанные команды с максимальными привилегиями. Такой приём позволял полностью захватить компьютер, однако для начала атаки злоумышленнику уже требовался локальный доступ к учётной записи или возможность выполнять код от имени обычного пользователя.

Canonical выпустила исправленные версии snapd. Администраторам рекомендуют как можно быстрее установить обновления и отдельно проверить фактическую версию snapd. Ориентироваться только на выпуск Ubuntu или ранее установленные обновления нельзя, поскольку уязвимый вариант snap-confine мог присутствовать и в обновлённых системах.