Omarchy，由 DHH（Ruby on Rails）打造的主观 Linux 桌面发行版，存在权限提升漏洞，允许任何本地进程获取 root 权限。这是 2026 年 Linux LPE 漏洞系列中的最新一例。

Omarchy：DHH 的 Linux 发行版将 root 权限暴露给任意用户进程

事件概述

Omarchy 是一款基于 Arch Linux 的 Linux 桌面发行版，由 Ruby on Rails 的创始人 David Heinemeier Hansson（DHH）构思并维护。其目标是为希望摆脱 macOS 的开发者提供“开箱即用”的 Linux 体验，无需牺牲舒适度。这一想法吸引了大量开发者关注，项目在开发者圈子中颇受欢迎。

然而，一项安全漏洞正在破坏这一愿景：任何在用户空间运行的进程都能将权限提升至 root。该漏洞已由 0xcc.io 的研究人员记录在案，CVE 编号正在分配中。

这一事件加入了 2026 年 Linux 本地权限提升（LPE）漏洞 的系列，该系列尤其影响“固执己见”（opinionated）的桌面发行版——继 Ubuntu Desktop 的 snap-confine 漏洞（#2054）之后，如今轮到了这款更小众但同样易受攻击的发行版。

影响范围

该漏洞为本地攻击：需要用户已获得系统访问权限。但在开发者的日常使用场景中，这一条件轻而易举就能满足：

• 在第三方项目中执行的恶意 npm 脚本
• 被植入后门的 VS Code 扩展或浏览器插件
• 未经签名验证的下载二进制文件

在 Omarchy 开发机上，上述任一常见攻击向量都足以获取 root 权限——进而完全控制机器、SSH 密钥、凭证存储和项目机密。

对于将 Omarchy 作为主力开发机的开发者而言，风险尤为严重，因为他们通常拥有代码仓库、API 密钥和云环境的访问权限。

背景：2026 年 Linux LPE 漏洞系列

2026 年延续了一种趋势：曾被视为“因默默无闻而安全”的 Linux 桌面发行版，如今正成为攻击者的活跃目标。随着 Linux 在开发者群体中的普及（尤其是 Omarchy 等项目的推动），其对攻击者的吸引力与日俱增。

与服务器发行版的区别在于：桌面发行版为提升用户体验而做出的固执己见的配置选择（如无密码 sudo、激活的服务、自动挂载设备）扩大了攻击面。

当前应对措施

立即行动

1. 审计 sudo 权限：运行 sudo -l —— 任何 NOPASSWD 条目若涉及解释器或编辑器，必须立即处理。
2. 列出 SUID 二进制文件：运行 find / -perm -4000 -type f 2>/dev/null —— 将结果与健康的 Arch 参考列表对比。
3. 避免在 Omarchy 机器上运行未验证的二进制文件，直至官方补丁发布。
4. 关注 Omarchy 的 GitHub 仓库以获取补丁——补丁发布后立即应用。
5. 在共享机器或服务器上：等待补丁期间，将环境隔离在虚拟机中。

我们将在 CVE 正式分配及补丁发布后更新本文。