Linux draait in miljoenen omgevingen, van datacenters tot cloudplatformen. Juist daarom is de Vghost Linux-kernelfout (CVE-2026-74580) zo relevant: onderzoekers vonden een kwetsbaarheid in het vhost-subsystem van de kernel die lokale gebruikers in staat stelt kernelgeheugen te lezen en te schrijven en via die route vrijwel direct root te worden. Bovendien kan er, onder specifieke virtualisatievoorwaarden, sprake zijn van een ontsnappingspad van gast naar host.
In dit artikel lees je wat er precies misgaat, wie er geraakt kan worden en welke stappen je vandaag nog kunt nemen.
Wat is de Vghost Linux-kernelfout (CVE-2026-74580)?
De fout zit in het vhost-gedeelte van Linux. vhost versnelt netwerk- en andere input/output-acties voor virtuele machines en containers. Op het systeem raak je dit deel van de kernel doorgaans via een device node, vaak /dev/vhost-net of /dev/vhost-vsock.
Concreet maakt de kwetsbaarheid het mogelijk dat een gebruiker (zonder extra privileges) op een betrouwbare manier naar willekeurige kerneladressen kan lezen en schrijven. Daarbij wordt een beveiligingslaag zoals KASLR omzeild. Vanaf daar is de stap naar privilege escalation naar root praktisch rechttoe rechtaan.
Waarom is de aanval zo betrouwbaar?
Volgens de technische analyse volgt de kwetsbaarheid een deterministisch pad: er is geen “geluk” nodig, en er is geen noodzaak voor memory grooming om de uitkomst af te dwingen.
Het werkt met een cache van geheugentoewijzingen die vhost bijhoudt. Bij een cache-hit behandelt de kernel een regio alsof die al is gecontroleerd. Die cache wordt wel gewist wanneer mappings worden bijgewerkt of de queue wordt gereset, maar niet wanneer bepaalde commando’s de ring-adressen of -grootte wijzigen terwijl de queue nog live is.
Het resultaat: vhost kan later nog steeds vertalen met een oude mapping, terwijl het systeem intussen nieuwe ring-informatie heeft gekregen. In combinatie met het feit dat de kernel daarna kopieert zonder passende bounds-checks, kan een aanvaller buiten de verwachte grenzen terechtkomen en zo kernelgeheugen manipuleren.
Van lokale gebruiker naar root
De onderzoekers tonen een volledige keten aan van een lokale, niet-geprivilegieerde gebruiker naar root. De fout zit al een lange tijd in de codebasis: de analyse beschrijft dat de kwetsbaarheid ontstaat door het samenkomen van twee logische wijzigingen die in de loop van eerdere kernels zijn doorgevoerd (in 2017 en in 2020).
Wat je vooral moet onthouden: de kernel overslaat een controle terwijl die, op het verkeerde moment, “zou moeten” gebeuren. Hierdoor blijft er een pad bestaan waarbij vertalingen niet meer kloppen met de actuele ringconfiguratie.
Kun je ook als gast de host raken?
Naast de lokale root-aanval beschrijft het onderzoek een tweede scenario dat nauwer is. Daarbij gaat het om de interactie tussen vhost, virtio en een apparaat-vertaling via IOMMU.
Het ontsnappingspad is relevant wanneer een virtuele machine een virtio-device achter een virtuele IOMMU heeft, waarbij iommu_platform is ingeschakeld. In zo’n configuratie kan een onbetrouwbare gast het bugmechanisme triggeren en ervoor zorgen dat de hostkernel schrijft met een out-of-bounds index richting geheugen van het QEMU-proces.
Vanaf QEMU kan de aanvaller volgens de onderzoekers vervolgens:
- een functiepointer overschrijven om controle te nemen over wat de host-process vervolgens draait, of
- het proces laten crashen.
Er is (nog) geen publieke aanwijzing dat deze gast-naar-host variant al actief wordt uitgebuit, maar het is wel belangrijk om je virtualisatie-inrichting mee te nemen in je risicobeoordeling.
Wie is getroffen?
De kwetsbaarheid geldt voor Linux kernels van 4.11 tot en met 7.2-rc4. Onderzoekers herkenden daarmee een brede impact, omdat veel distributies in die bandbreedte onderdelen van vhost gebruiken.
Tencent Zhuque Lab beschrijft dat ze de aanval volledig konden reproduceren op vijf distributiekernels, waaronder:
- Ubuntu 26.04
- RHEL 9.8
- Amazon Linux 2023
- Microsoft Azure Linux 3.0
- Oracle Linux 10.2
De manier waarop je precies bij het kwetsbare device node uitkomt, verschilt per systeem:
- Op Ubuntu was de toegang beperkt tot de kvm-groep, waardoor de start meestal een lid van die groep is.
- Bij de andere geteste images was de node “world-readable” (mode 0666), waardoor elke lokale gebruiker potentieel bij de aanval kan komen.
Wat is er inmiddels opgelost?
De fix is beschikbaar gesteld door de onderzoekers en verwerkt in een commit met identificatie de845981da67. De kern van de oplossing is dat de cache wordt leeggemaakt wanneer de ring opnieuw wordt geconfigureerd.
Concreet: installeer een kernel die de fix bevat en herstart zodat je systeem ook daadwerkelijk met de aangepaste kernel opstart. Upstream stable releases die als eerste een fix bevatten, worden in de bronanalyse opgesomd; leveranciers kunnen de fix ook backporten zonder hun versienummer te wijzigen.
Vendorstatus: Red Hat, Amazon, Oracle en Ubuntu
Red Hat, Amazon Linux en Oracle Linux hebben volgens de publicatie fixes geleverd. Voor Ubuntu geldt dat 22.04 al gerepareerd is, maar dat Ubuntu in de genoemde stand van zaken (t/m 13 oktober) nog aangaf dat 24.04 en 26.04 kernels “in progress” waren.
Omdat releases en backports in de praktijk kunnen verschillen per patchkanaal, is het belangrijk om per distributie te checken of jouw kernel werkelijk de betreffende fix bevat.
Wat kun je nu doen als je nog niet kunt patchen?
Totdat je een gepatchte kernel draait, ligt de focus op het beperken van toegang tot de vhost device nodes. De analyse is daarbij vrij direct: je wilt voorkomen dat niet-vertrouwde gebruikers bij /dev/vhost-net en /dev/vhost-vsock kunnen.
Praktische maatregelen:
- Haal world-toegang weg van de vhost device nodes.
- Beperk het eigendom tot een vertrouwde groep voor virtualisatie-services.
- Behandel lidmaatschap van die groep tijdens de kwetsbare periode als een privilege.
Voor het gast-naar-host ontsnappingspad is er volgens de bronanalyse geen tussentijdse workaround. Daar is de gepatchte kernel de primaire en feitelijke oplossing.
Hoe ernstig is het?
De kwetsbaarheid wordt als high geclassificeerd, maar de exacte score verschilt tussen scoringsinstanties. De kernel.org CVE-team scoreert op 8.8 en geeft aan dat de scope is gewijzigd, omdat de guest-to-host component verder gaat dan alleen “binnen dezelfde trust boundary”.
Red Hat rapporteert een score van 7.3 en markeert de scope als ongewijzigd, met een iets lagere inschatting voor integriteitsimpact. Amazon en Oracle scoren respectievelijk 7.8 en 7.3.
Wat dat praktisch betekent: zie dit niet als een theoretisch probleem. De combinatie van lokale privilege escalation en (in bepaalde omgevingen) effecten richting QEMU maakt het een onderwerp voor patchprioriteit binnen je Linux/virtualisatiebeheer.
AI-onderzoek: hoe werd dit ontdekt?
De onderzoekers geven aan dat de vondst is gedaan met hulp van Corvus AI, een multi-agent systeem dat Tencent heeft gebouwd voor kernel vulnerability research. De publicatie beschrijft dat het model/agents samen met een pipeline de kwetsbaarheid in de code hebben gevonden en dat dit dus gaat om machine-assisted onderzoek, niet om een AI die actief aanvallen uitvoert.
Belangrijk detail: in de fix-credit staat een “Assisted-by” regel voor Corvus AI, en Tencent zegt dat de pipeline de fout heeft geïdentificeerd.
Vergelijkbare patch- en impactaanpak binnen jouw organisatie
Hoewel dit specifiek over Linux-kernelfouten gaat, ligt de aanpak voor veel organisaties in dezelfde lijn als bij andere patchcycli: breng impact en exploitbaarheid samen, patch waar het kan, en beperk toegang waar je nu al risico kunt terugdringen.
Als je kijkt naar patchbeheer in bredere zin, is het nuttig om ook je planning voor andere platforms strak te houden. Heb je bijvoorbeeld Windows-workloads, dan volgt de praktijk vaak een ritme rond Patch Tuesday. Voor recente Windows-issues kun je deze update gebruiken:
Microsoft Patch Tuesday 1.413 fixes: wat je moet doen
En omdat er bij virtualisatie ook vaak meerdere lagen samenkomen (guest, host, netwerkoffload, beheerinterfaces), helpt het om te blijven sturen op “least privilege” en toegangsbeperking rondom device nodes en management-groepen.
Conclusie: patch Linux vhost snel en reduceer toegang
De Vghost Linux-kernelfout (CVE-2026-74580) is een serieuze kernelkwetsbaarheid die lokale gebruikers in staat stelt kernelgeheugen te lezen en te schrijven en zo root te worden. Daarnaast kan een specifieke virtualisatieconfiguratie leiden tot effecten van gast richting host (via QEMU), waardoor de impact verder reikt dan alleen een individuele machine.
De boodschap is helder: installeer de gepatchte kernel zodra die voor jouw distributie beschikbaar is en herstart. Tot die tijd kun je het risico verkleinen door toegang tot /dev/vhost-net en /dev/vhost-vsock strikt te beperken tot vertrouwde virtualisatie-services.
Bron: https://thehackernews.com/2026/10/ai-found-linux-kernel-flaw-gives-local.html
