Uma falha de segurança descoberta no kernel do Linux permite que usuários sem privilégios assumam o controle total de servidores e consigam escapar de máquinas virtuais para invadir o sistema hospedeiro. A vulnerabilidade afeta versões do sistema operacional lançadas ao longo dos últimos nove anos e já recebeu um ajuste emergencial.
Identificado como “CVE-2026-74580″ e apelidado de “Vghost”, o problema afeta o vhost, um componente do Linux responsável por acelerar a troca de dados entre o sistema principal e os ambientes virtualizados. Ao explorar o erro, um invasor consegue ler e escrever na memória do sistema sem encontrar barreiras de proteção e obter acesso de nível máximo (root).
O achado foi realizado pelos pesquisadores do Tencent Zhuque Lab, da China, com o auxílio da ferramenta Corvus AI. Em relatório técnico publicado na segunda-feira (12), os especialistas alertaram sobre o alcance da falha e defenderam a revisão de certos limites de segurança na computação em nuvem.
Falha em sistema do Linux expõe servidores e permite invasão total Foto: Reprodução/Linux
“A vulnerabilidade fornece dois vetores de exploração: a elevação local de privilégios no hospedeiro e a fuga de máquina virtual. Esta publicação nos lembra que as fronteiras de isolamento de segurança consideradas confiáveis podem precisar ser reconsideradas”, escreveram os analistas.
Mecanismo de erro e impacto no mercado
A origem do erro ocorreu após a combinação de duas alterações legítimas feitas no código do Linux em 2017 e 2020. O componente vhost passou a guardar um histórico rápido das permissões de memória e deixou de validar novos endereços de rede enviados pelo usuário enquanto as rotinas estavam ativas. Assim, o sistema continuava usando autorizações antigas para processar novos caminhos de dados sem realizar as checagens necessárias.
O problema afetou kernels do Linux lançados entre as versões 4.11 e 7.2. Testes práticos confirmaram a eficácia do ataque em distribuições amplamente utilizadas no mercado corporativo, incluindo Ubuntu 26.04, Red Hat Enterprise Linux 9.8, Amazon Linux 2023, Microsoft Azure Linux 3.0 e Oracle Linux 10.2.
Segundo os estudiosos da Tencent, o processo de invasão se mostrou extremamente consistente e livre de falhas de execução. “Os primitivos de ataque seguem a partir do comportamento do cache, não de uma corrida de tempo ou de uma disposição específica de memória. Uma única sequência de comandos é suficiente, sem necessidade de etapas de preparação ou repetições”, afirmaram.
Falha em sistema do Linux expõe servidores e permite invasão total Foto: Reproduç
Em sistemas operacionais onde a porta de entrada estava aberta para qualquer usuário, a elevação de acesso ocorria de forma direta. No Ubuntu, o acesso inicial ficou restrito a usuários que já pertenciam ao grupo de virtualização (kvm), o que diminuiu a exposição inicial da plataforma.
Respostas das distribuições e correções
O ajuste para eliminar a falha foi disponibilizado no código-fonte principal do Linux no dia 3 de agosto de 2026 sob a identificação “commit de845981da67″. A alteração força o sistema a limpar o histórico temporário sempre que uma reconfiguração de memória é solicitada, o que obriga o kernel a checar todas as permissões novamente.
Empresas de tecnologia e mantenedoras do sistema começaram a liberar correções para os usuários. A Red Hat atualizou o banco de dados de segurança e classificou o impacto da falha como importante, disponibilizando atualizações para o Red Hat Enterprise Linux nas versões 8, 9 e 10. A Amazon Web Services e a Oracle também lançaram pacotes de correção para as distribuições e serviços em nuvem.
A Canonical, responsável pelo Ubuntu, corrigiu a vulnerabilidade para a versão 22.04 LTS e indicou que o desenvolvimento de correções para os lançamentos 24.04 LTS e 26.04 LTS estava em andamento.
Até o momento, não há registros de que a vulnerabilidade tenha sido explorada em ataques reais. Os pesquisadores orientam que administradores de sistemas que não puderem aplicar as atualizações de kernel imediatamente devem restringir o acesso aos arquivos /dev/vhost-net e /dev/vhost-vsock, limitando as permissões apenas a serviços essenciais e confiáveis.
Siga o TecMundo no X, Instagram, Facebook e YouTube e assine a nossa newsletter para receber as principais notícias e análises diretamente no seu e-mail.