【安全通告】Linux Kernel vhost "Vghost" 本地权限提升漏洞风险通告（CVE-2026-74580）

本地攻击者利用该漏洞可提升权限至 root 权限，并且在特定虚拟化配置下还可实现虚拟机逃逸，导致宿主机被控制等危害。

TencentOS Server 4.x

TencentOS Server 3.x

TencentOS Server 2.x

Ubuntu 26.04 LTS

Ubuntu 24.04 LTS

Ubuntu 22.04 LTS

Ubuntu 20.04 LTS

Ubuntu 18.04 LTS

Red Hat Enterprise Linux 10

Red Hat Enterprise Linux 9

Red Hat Enterprise Linux 8

Red Hat Enterprise Linux 7

1. 检查所使用的 Linux kernel 的版本：

uname -r

2. 检查环境是否启用了 vhost 相关模块：

cat /boot/config-$(uname -r) | grep -w CONFIG_VHOST

# 若输出 CONFIG_VHOST=m 或 CONFIG_VHOST=y，则受该漏洞影响。

3. 对于以上排查确认受影响的宿主机，需进一步检查各虚拟机的 QEMU 启动参数，确认是否满足虚拟机逃逸相关配置条件：

以下以 virtio 网卡使用 TAP + 内核 vhost-net 后端的场景为例，检查是否同时满足以下三个条件：

(1) 检查目标 vhost 设备是否开启 iommu_platform：

即对应的 -device virtio-net-pci, ...是否包含 iommu_platform=on

(2) 检查是否配置了vIOMMU：

即是否存在 -device intel-iommu

(3) 检查目标网卡是否配置了 vhost 后端：

若使用 TAP + 内核 vhost-net，检查对应的 -netdev tap, ... 是否包含vhost=on

# 符合上述条件的参数片段示例如下（... 表示省略其他参数）：

-device intel-iommu

-device virtio-net-pci,...,netdev=net0,iommu_platform=on

-netdev tap,id=net0,...,vhost=on

注：若宿主机内核受影响，且同一虚拟机满足上述三个条件，则存在虚拟机逃逸风险。目前针对此场景暂无可用的临时缓解措施，建议使用正式修复方案。

腾讯云CVM经检查不存在虚拟机逃逸风险。

1. 官方已发布漏洞补丁及修复版本，请评估业务是否受影响后，升级至安全版本

2. 针对 TencentOS Server，官方已将修复补丁合入各分支内核仓库，请评估业务是否受影响后，及时更新内核补丁：

(1) 修复命令：

# 方式一：连接官方软件源升级

sudo dnf update -y kernel

# 方式二：手动离线升级

rpm -ivh kernel-<修复后内核版本>.tl4.x86_64.rpm

(2) 完成内核更新并重启后，建议执行以下命令确认当前运行内核已切换至修复版本：

uname -r

(3) 确认输出版本不低于对应 TencentOS 修复版本后，可视为内核修复已生效。

3. 缓解措施：

通过收紧 vhost 字符设备权限来降低风险（执行前请先完成业务依赖评估，收紧 /dev/vhost-vsock、/dev/vhost-net 权限，可能影响依赖 vhost 后端的虚拟机、容器等业务）

(1) 如需手动应用缓解措施，可用 root 用户执行下述命令：

# 收紧 vhost 字符设备权限

cat > /etc/udev/rules.d/72-vhost-perms.rules << 'EOF'

KERNEL=="vhost-net", GROUP="kvm", MODE="0660"

KERNEL=="vhost-vsock", GROUP="kvm", MODE="0660"

EOF

udevadm control --reload-rules && udevadm trigger --name-match=vhost-net --name-match=vhost-vsock

(2) 执行完成后检查应用是否成功，用 root 用户执行下列命令

ls -l /dev/vhost-vsock /dev/vhost-net

# 权限应当为 0660（root:kvm）