La compromissione di root significa che un aggressore ha ottenuto il pieno controllo amministrativo di un sistema. Sui sistemi Unix-like, questo di solito significa accesso root; su altre piattaforme, è il livello di privilegi più elevato equivalente. A questo punto, l'aggressore può spesso eseguire comandi senza restrizioni, modificare impostazioni, creare o eliminare account, disabilitare strumenti di sicurezza e alterare i registri.
Questo è importante perché la compromissione di root trasforma una singola vulnerabilità nella piena proprietà del sistema. Negli attacchi informatici, può seguire un'escalation dei privilegi, credenziali amministrative rubate o difetti nei servizi di gestione esposti e negli appliance perimetrali. I difensori considerano la compromissione di root un incidente critico perché l'aggressore può nascondere la persistenza, rubare segreti e usare il sistema come punto di lancio verso le reti interne. I segnali possono includere modifiche di configurazione inattese, nuovi utenti con privilegi elevati, accessi shell insoliti e attività sospette di processi o dei registri. Quando si sospetta una compromissione di root, il contenimento, la rotazione delle credenziali e la ricostruzione del sistema da supporti affidabili sono spesso più sicuri che tentare di “bonificarlo” sul posto.