Durante quase uma década, uma vulnerabilidade permaneceu escondida em um componente do kernel Linux utilizado para acelerar operações de máquinas virtuais.
Agora, pesquisadores conseguiram demonstrar que o problema pode permitir a um invasor obter privilégios de administrador e, em determinadas configurações, ultrapassar o isolamento entre uma máquina virtual e o servidor que a hospeda.
A descoberta ganhou ainda mais atenção por um motivo: uma ferramenta de inteligência artificial participou da investigação, ajudando a identificar, reproduzir e validar a falha.
Identificada como CVE-2026-74580 e apelidada de Vghost, a vulnerabilidade recebeu pontuação 8,8 na escala CVSS 3.1, classificação considerada alta.
O problema afeta o subsistema vhost do Linux e está relacionado ao gerenciamento incorreto de informações armazenadas em cache. Em condições específicas, essa falha permite acessar regiões de memória que deveriam permanecer protegidas.
A pesquisa foi conduzida pelo Tencent Zhuque Lab, que divulgou detalhes técnicos sobre a vulnerabilidade em outubro de 2026. Embora a correção já estivesse disponível no kernel principal desde agosto, a publicação de uma prova de conceito e de resultados em diferentes distribuições reacendeu a discussão sobre seus riscos.
E aqui está o detalhe que merece atenção: não estamos falando apenas de uma falha capaz de comprometer um computador individual. Em determinados ambientes de virtualização, o problema também pode afetar a separação entre sistemas que compartilham o mesmo servidor físico.
A descoberta foi detalhada pelos pesquisadores em um comunicado técnico publicado em 14 de outubro.
O que é a CVE-2026-74580 e por que essa falha no Linux é perigosa?
A CVE-2026-74580 é uma vulnerabilidade no subsistema vhost, componente do kernel Linux responsável por acelerar determinadas operações de entrada e saída utilizadas por máquinas virtuais.
Para entender o problema, vale lembrar como funciona a virtualização.
Um único servidor físico pode executar várias máquinas virtuais, cada uma com seu próprio sistema operacional, aplicativos e usuários. Embora compartilhem recursos físicos, essas máquinas precisam permanecer isoladas umas das outras e do sistema hospedeiro.
O vhost ajuda a tornar essa comunicação mais eficiente, permitindo que determinadas operações sejam processadas diretamente pelo kernel, sem depender de todas as etapas normalmente executadas pelo software de virtualização.
O problema está na maneira como o subsistema mantém informações sobre endereços de memória utilizados nessas operações.
Segundo a descrição técnica da vulnerabilidade, o Linux armazenava determinados mapeamentos em cache para evitar verificações repetidas.
Até aí, nada incomum. Sistemas operacionais utilizam caches constantemente para melhorar o desempenho.
A falha aparece quando uma estrutura chamada vring, utilizada na comunicação entre dispositivos virtuais, é reconfigurada.
Em determinadas condições, o kernel atualizava os endereços ou tamanhos dessa estrutura sem invalidar as informações antigas armazenadas no cache.
Como resultado, operações posteriores podiam reutilizar mapeamentos que já não correspondiam às regiões de memória autorizadas.
Isso abria caminho para acessos indevidos à memória, incluindo leitura e escrita fora dos limites esperados.
Na prática, um mecanismo criado para melhorar o desempenho acabava permitindo que determinadas verificações de segurança fossem ignoradas.
A Red Hat também documentou o problema, classificando seus possíveis impactos como exposição de informações, corrupção de dados e indisponibilidade do sistema.
Inteligência artificial ajudou pesquisadores a encontrar e explorar a vulnerabilidade
Um dos aspectos mais interessantes dessa descoberta é a participação da inteligência artificial durante a investigação.
O Tencent Zhuque Lab utilizou uma ferramenta chamada Corvus AI para auxiliar na análise do código, reprodução do problema, desenvolvimento de técnicas de exploração e validação dos resultados em diferentes plataformas.
Isso não significa que uma inteligência artificial tenha invadido servidores por conta própria ou descoberto a vulnerabilidade sem participação humana.
O trabalho foi conduzido por pesquisadores de segurança, que utilizaram recursos de IA como parte do processo de investigação.
A diferença está na capacidade de automatizar e acelerar atividades que normalmente exigem uma quantidade considerável de análise manual.
Encontrar uma vulnerabilidade em um projeto do tamanho do kernel Linux não é exatamente como localizar um erro em um pequeno programa.
Estamos falando de um sistema com milhões de linhas de código, inúmeras interações entre componentes e diferentes configurações de hardware e software.
Uma falha pode permanecer escondida durante anos porque depende de uma combinação específica de operações para se manifestar.
Nesse cenário, ferramentas de inteligência artificial podem ajudar a identificar relações entre trechos de código, sugerir hipóteses e apoiar a criação de testes.
Mas existe uma distinção importante: a IA auxilia na investigação, enquanto a confirmação da vulnerabilidade depende de evidências técnicas e testes reproduzíveis.
No caso da Vghost, os pesquisadores conseguiram demonstrar o impacto em ambientes reais de teste, incluindo diferentes distribuições Linux.
O episódio reforça uma tendência interessante na segurança digital. A inteligência artificial não está sendo utilizada apenas para produzir software, mas também para encontrar problemas em programas que já existem há muito tempo.
E, convenhamos, descobrir que um erro passou quase nove anos escondido no kernel é um lembrete de que até os projetos mais examinados do mundo podem guardar surpresas.
Falha permite obter acesso root em determinadas configurações
O impacto mais direto da CVE-2026-74580 é a possibilidade de elevação local de privilégios.
Em sistemas Linux, o usuário root possui permissões administrativas que permitem realizar operações restritas, modificar configurações críticas e acessar recursos protegidos.
Normalmente, um usuário comum não deveria conseguir executar essas ações sem autorização.
Entretanto, os pesquisadores demonstraram que a vulnerabilidade pode ser explorada por um usuário local que tenha acesso aos dispositivos vhost necessários.
Nessas condições, a falha permite realizar operações indevidas de leitura e escrita na memória do kernel, abrindo caminho para obter privilégios de root.
O requisito de acesso aos dispositivos é fundamental.
Isso significa que a vulnerabilidade não oferece automaticamente acesso administrativo a qualquer pessoa conectada à internet. Para explorar o cenário local demonstrado, o atacante precisa conseguir interagir com interfaces específicas do vhost.
As permissões configuradas nesses dispositivos influenciam diretamente a exposição do sistema.
Durante os testes, os pesquisadores identificaram distribuições nas quais determinados dispositivos estavam acessíveis a usuários comuns, enquanto outras exigiam participação em grupos com permissões específicas.
Essa diferença ajuda a explicar por que a mesma vulnerabilidade pode representar riscos distintos dependendo da configuração do ambiente.
Ainda assim, obter privilégios administrativos por meio de uma falha no kernel representa uma ameaça importante, especialmente em servidores compartilhados e infraestruturas que executam aplicações de diferentes usuários.
Máquinas virtuais também podem ser usadas para comprometer o servidor hospedeiro
O risco vai além da elevação de privilégios dentro do Linux. Os pesquisadores também demonstraram um cenário no qual a vulnerabilidade permite comprometer o processo responsável por executar uma máquina virtual.
Esse tipo de ataque é conhecido como VM escape, ou fuga de máquina virtual.
Em condições normais, uma máquina virtual não deveria conseguir interferir diretamente no ambiente do servidor que a hospeda. Ou seja, esse isolamento é uma das bases da virtualização moderna.
A Vghost, entretanto, pode ser explorada em determinadas configurações que utilizam uma unidade virtual de gerenciamento de memória, recursos específicos de IOMMU e suporte à redefinição de estruturas virtuais.
Nesse cenário, os pesquisadores demonstraram a possibilidade de sobrescrever regiões da memória do processo QEMU, utilizado para executar máquinas virtuais.
O resultado pode permitir que um invasor controle o fluxo de execução desse processo no sistema hospedeiro.
É importante destacar que isso não equivale a afirmar que qualquer máquina virtual Linux pode escapar automaticamente para o servidor físico.
A exploração depende de uma combinação específica de recursos e configurações.
Mesmo assim, a demonstração é relevante porque revela uma possível quebra de uma das principais barreiras de segurança utilizadas em ambientes virtualizados.
Para provedores de infraestrutura e empresas que mantêm diferentes cargas de trabalho em servidores compartilhados, esse tipo de vulnerabilidade merece atenção especial.
Quais versões do Linux foram afetadas pela CVE-2026-74580?
A vulnerabilidade não está limitada a uma única distribuição. O problema foi identificado no código do kernel Linux, utilizado como base por sistemas como Ubuntu, Red Hat Enterprise Linux, Amazon Linux, Oracle Linux e Azure Linux.
Entretanto, isso não significa que todas as versões dessas distribuições estejam vulneráveis.
A exposição depende da versão do kernel, das correções aplicadas pelo fabricante e da configuração dos dispositivos envolvidos.
Os pesquisadores do Tencent Zhuque Lab confirmaram a exploração local com obtenção de privilégios root nos seguintes ambientes de teste:
| Distribuição testada | Versão do kernel |
|---|---|
| Ubuntu 26.04 LTS | 7.0.0-28-generic |
| Red Hat Enterprise Linux 9.8 | 5.14.0-687.5.3.el9_8 |
| Amazon Linux 2023 | 6.1.180-225.360.amzn2023 |
| Microsoft Azure Linux 3.0 | 6.6.150.1-1.azl3 |
| Oracle Linux 10.2 | 6.12.0-204.92.4.2.el10uek |
Essas versões representam ambientes nos quais os pesquisadores reproduziram a vulnerabilidade. A tabela não deve ser interpretada como uma lista completa de todos os sistemas afetados.
Outro detalhe importante é que distribuições empresariais frequentemente incorporam correções de segurança sem alterar o número principal da versão do kernel.
Por isso, comparar apenas números de versões pode levar a conclusões equivocadas.
A Canonical, por exemplo, já disponibilizou correções para determinados pacotes do Ubuntu 22.04 LTS, enquanto outros pacotes e versões ainda apareciam como vulneráveis ou em processo de correção no boletim consultado, atualizado em 13 de outubro.
Correção já existe e foi incorporada a versões estáveis do kernel
Apesar da gravidade da descoberta, existe uma notícia positiva: a vulnerabilidade já possui correção.
A falha foi registrada publicamente em 21 de agosto de 2026, e a solução foi incorporada ao código principal do Linux antes da divulgação técnica mais detalhada realizada em outubro.
A correção modifica o comportamento do subsistema vhost para invalidar as informações de cache sempre que as estruturas virtuais relevantes forem reconfiguradas.
Com isso, os novos endereços precisam passar novamente pelas verificações de acesso à memória, impedindo que mapeamentos antigos sejam reutilizados indevidamente.
Segundo os pesquisadores, as primeiras versões corrigidas das respectivas séries estáveis do kernel são: 5.10.265, 5.15.216, 6.1.183, 6.6.152, 6.12.104, 6.18.45, 7.1.9 e 7.2.
Primeiras versões estáveis com a correção, conforme comunicado técnico do Tencent Zhuque Lab. Distribuições podem disponibilizar a solução por meio de atualizações próprias.
A existência dessas versões corrigidas não significa que todos os sistemas tenham recebido a atualização automaticamente.
Administradores precisam verificar os boletins de segurança de suas distribuições e confirmar se o kernel instalado contém a correção correspondente.
Em servidores, também pode ser necessário reiniciar o sistema para que o kernel atualizado entre efetivamente em funcionamento. A alteração oficial pode ser consultada no repositório do kernel Linux.
Como proteger servidores Linux contra a vulnerabilidade Vghost
A principal recomendação é instalar um kernel que contenha a correção da CVE-2026-74580. E antes de realizar a atualização, administradores devem consultar os avisos de segurança publicados pelo fornecedor da distribuição utilizada.
Também é importante verificar se usuários comuns ou aplicações sem privilégios possuem acesso desnecessário aos dispositivos do subsistema vhost.
Em sistemas nos quais esses recursos não são utilizados, a Red Hat recomenda considerar o bloqueio do carregamento do módulo vhost como medida temporária de mitigação. Entretanto, essa alteração exige cuidado.
Desativar o vhost pode prejudicar o desempenho de operações de rede, armazenamento e comunicação entre máquinas virtuais. Em determinados ambientes, também pode impedir a inicialização de instâncias que dependam desses recursos.
Outra medida recomendada é evitar que contêineres não confiáveis recebam acesso aos dispositivos vhost do servidor.
No caso de ambientes virtualizados que ainda não receberam a correção, os pesquisadores também orientam evitar configurações vulneráveis que exponham dispositivos vhost a máquinas virtuais não confiáveis.
É importante observar que restringir permissões locais não elimina necessariamente o cenário de exploração originado dentro de uma máquina virtual.
Portanto, essas medidas devem ser consideradas complementares à atualização, e não substitutas da correção definitiva.
As orientações estão disponíveis nos comunicados oficiais da Red Hat e dos pesquisadores.
Existem ataques reais explorando essa falha no Linux?
Até 15 de outubro de 2026, as fontes consultadas não apresentavam confirmação de campanhas criminosas explorando a CVE-2026-74580 em ambientes de produção.
O que existe é uma demonstração técnica pública da vulnerabilidade, acompanhada de uma prova de conceito que permite reproduzir determinadas condições de exploração.
Essa distinção é importante.
A publicação de uma prova de conceito demonstra que a falha pode ser explorada, mas não comprova que criminosos já estejam utilizando a técnica contra empresas.
Por outro lado, a disponibilidade pública de informações técnicas pode facilitar a reprodução do problema por outras pessoas.
Isso reforça a importância de instalar as correções disponíveis, principalmente em sistemas que permitem acesso local de diferentes usuários ou executam máquinas virtuais não confiáveis.
Não há necessidade de transformar uma vulnerabilidade séria em um cenário de ataques generalizados sem evidências.
O risco técnico demonstrado já é motivo suficiente para atenção.
A descoberta mostra como a inteligência artificial está mudando a segurança digital
A CVE-2026-74580 representa um exemplo concreto de como a inteligência artificial pode contribuir para a identificação de vulnerabilidades complexas.
Durante anos, o problema permaneceu presente em um componente amplamente utilizado do Linux.
Com o auxílio de ferramentas de IA, pesquisadores conseguiram analisar o comportamento do código, reproduzir a falha e demonstrar consequências que vão desde a obtenção de privilégios administrativos até o comprometimento de ambientes virtualizados em configurações específicas.
Isso não significa que a inteligência artificial tenha substituído pesquisadores de segurança.
Pelo contrário, a investigação combinou ferramentas automatizadas, conhecimento especializado, experimentação e validação técnica.
Mas a experiência mostra que essas tecnologias podem ampliar a capacidade de investigação de equipes que trabalham com sistemas complexos. Existe, naturalmente, outro lado nessa história.
As mesmas ferramentas que ajudam especialistas a encontrar vulnerabilidades também podem ser utilizadas por pessoas interessadas em explorar sistemas desatualizados.
Por isso, a evolução da inteligência artificial na segurança digital aumenta a importância de processos eficientes de atualização, monitoramento e resposta a incidentes.
No fim das contas, o caso Vghost deixa duas lições importantes.
A primeira é que até componentes antigos e amplamente utilizados do Linux podem apresentar vulnerabilidades graves.
A segunda é que a inteligência artificial está se tornando uma ferramenta relevante para descobrir problemas que passaram despercebidos durante anos.
E talvez a parte mais curiosa seja justamente essa: uma falha permaneceu escondida por quase uma década, mas bastou uma investigação apoiada por novas ferramentas para demonstrar o quanto ela poderia comprometer a segurança de determinados sistemas.
A correção já existe. Agora, cabe aos responsáveis pelos ambientes Linux verificar se ela realmente chegou aos servidores.
