Azt mondanám elsőre, hogy az üzemeltetésé, de ha tudsz jobbat mást, ne tartsd vissza. Sajnos nem volt időm a szálat elolvasni, így csak tippelni tudok.
Féretéve a "Linux szent és feltörhetetlen" axiómát én inkább első körben valami új local root sebezhetőség kihasználására gyanakodnék, ami csak az "üzemeltetési hiba" elég tág értelmezése (ti. az üzemeltető kötelessége felderíteni és kijavítani az általa üzemeltetett szoftver ismeretlen és/vagy eddig javítatlan hibáit is) esetén tekinthető ennek.
Ellenben, ha feltesszük hogy valóban olyan hibásan üzemeltetik a kernel.org servereit, hogy bárki észrevétlenül legfelső jogosultsági szinttel ki-be járkál 3 héten át, akkor ezt a vmlinuzizét nagyon gyorsan gyalulni kéne az összes gépről, mert hasonló üzemeltetési hibák során bárki hagyhatott benne jópár kis meglepetést.