Falha Crítica no Linux vhost Permite Escalada de Privilégios para Root (CVE-2026-74580)

A vulnerabilidade Vghost (CVE-2026-74580), com CVSS 8.8, explora uma falha crítica no subsistema vhost do kernel Linux, uma ferramenta essencial para a virtualização. O vhost atua como acelerador, permitindo que máquinas virtuais (VMs) troquem descritores diretamente com o hardware através de vrings, otimizando o desempenho de I/O.

O cerne do problema está em uma condição de cache desatualizado (stale-cache) na estrutura vq->meta_iotlb[]. Dois commits distintos (f88949138058 do Linux 4.11 e 0210a8db2aec do Linux 5.9), ambos

Os pesquisadores do Tencent Zhuque Lab, os mesmos responsáveis pela descoberta da Vghost, já haviam alertado sobre o SCTPhantom (CVE-2026-64564) em 10 de agosto de 2026. Aquela falha no kernel Linux permitia escalonamento de privilégios local e evasão de containers. A Vghost representa uma nova camada de ameaça, adicionando o escape de máquina virtual como vetor de ataque, complementando o trabalho anterior e reforçando a necessidade de uma revisão profunda na segurança de componentes de virtualização do kernel.

Este novo alerta se soma a uma série de vulnerabilidades de escape de VM no KVM noticiadas pelo CEVIU. Em 11 de agosto de 2026, destacamos uma falha no KVM (CVE-2026-53360) que permitia leitura e escrita fora dos limites da heap, e em 11 de julho de 2026, a Januscape (CVE-2026-53359), também no KVM, abria portas para corrupção de memória. A Vghost, ao afetar diretamente processos QEMU no host, reforça um padrão preocupante de riscos em ambientes virtualizados.

A Vghost é uma ameaça dupla, comprometendo tanto a segurança de sistemas operacionais em bare-metal quanto a integridade de ambientes virtualizados. Sua capacidade de conceder acesso root localmente e, em paralelo, permitir o escape de máquinas virtuais, a torna especialmente perigosa para provedores de nuvem e empresas que utilizam infraestrutura virtualizada. A abrangência da falha, que se estende por quase uma década de versões do kernel (do 4.11 ao 7.2), significa que inúmeros sistemas em produção estão potencialmente vulneráveis.

O fato de algumas distribuições exporem os nós de dispositivo /dev/vhost-net e /dev/vhost-vsock com permissões 0666 (acesso de escrita global) por padrão, como RHEL, Amazon Linux, Azure Linux e Oracle Linux, aumenta a superfície de ataque. Essa configuração permite que qualquer usuário local comprometa o sistema sem grande esforço. A complexidade do bug, originado pela interação de dois commits que individualmente pareciam inofensivos, sublinha o desafio constante na manutenção e segurança de um projeto tão vasto quanto o kernel Linux.