Vghost, la falla del kernel Linux trovata dall'IA di Tencent in due ore

Il 12 ottobre 2026 il Tencent Zhuque Lab ha reso pubblica CVE-2026-74580, soprannominata Vghost, una vulnerabilità nel sottosistema vhost del kernel Linux scoperta con l'assistenza di Corvus AI, il sistema multi-agent di Tencent per la ricerca di vulnerabilità kernel. La falla permette escalation di privilegi locali a root e, in configurazioni virtualizzate con IOMMU virtuale, escape da guest a host. La rapidità dichiarata di scoperta — circa due ore — e la pubblicazione di un proof-of-concept deterministico rendono immediato il rischio per le infrastrutture cloud e on-premise.

Come funziona la stale cache che compromette il kernel

Il meccanismo della falla risiede nella cache vq->meta_iotlb[], che mantiene traduzioni IOTLB per i metadati vring (desc, avail, used). Questa cache short-circuita la validazione su cache hit: se l'indirizzo è già presente, il sistema non rivalida. Il problema è che VHOST_SET_VRING_ADDR e VHOST_SET_VRING_NUM — i comandi ioctl che riconfigurano gli indirizzi dei vring — non invalidano la cache.

Con il device IOTLB attaccato, questi ioctl accettano indirizzi nuovi su una vq già live e differiscono la validazione al momento del prefetch. Ma il prefetch non avviene mai se c'è un cache hit. A quel punto vhost_vq_meta_fetch() calcola il puntatore con map->addr + addr - map->start senza range check, portando __copy_to_user e __copy_from_user a indirizzi arbitrari.

Secondo l'analisi tecnica del Tencent Zhuque Lab, "the bug is the composition of two commits that are each individually reasonable". La composizione di due comportamenti corretti isolatamente — cache per performance e validazione differita per sicurezza — genera una falla critica quando combinati senza invalidazione.

Dal local root al guest-to-host: i due vettori di Vghost

Sul primo vettore, l'attacco locale sfrutta il bypass KASLR attraverso la lettura dell'IDT gate 0. L'exploit repunta desc_user_addr a un indirizzo fisso — 0xfffffe0000000000, corrispondente a asm_exc_divide_error — e recupera i primi 8 byte tramite il messaggio VHOST_IOTLB_MISS, calcolando lo slide KASLR. La scrittura arbitraria avviene poi modificando used_user_addr con allineamento controllato, sovrascrivendo /proc/sys/kernel/modprobe per esecuzione di codice come root.

Sul secondo vettore, un guest non fidato con virtio device dietro virtual IOMMU e iommu_platform abilitato può forzare l'host QEMU a invocare VHOST_SET_VRING_ADDR senza clear della cache. Questo permette scrittura out-of-bounds nell'heap di QEMU, sovrascrivendo function pointer del framework QOM. La fonte tecnica lo definisce "dual exploitation vectors: host local privilege escalation and virtual machine escape".

Il PoC pubblicato da Fourie Zhang del TencentOS Security Team conferma che l'exploit richiede un solo processo, una breve sequenza di ioctl e nessun retry loop. La natura deterministica elimina la variabilità tipica delle race condition, rendendo l'attacco ripetibile e prevedibile.

"once the cache is populated, that deferred validation never runs: vq_meta_prefetch() hits the stale entry and returns true, and vhost_vq_meta_fetch() keeps translating the new address through the old mapping" — Tencent Zhuque Lab

Quanto è esposto il parco installato: test sulle distribuzioni enterprise

Tencent ha riprodotto l'attacco completo su cinque distribuzioni: Ubuntu 26.04, RHEL 9.8, Amazon Linux 2023, Microsoft Azure Linux 3.0 e Oracle Linux 10.2. La riproduzione ha evidenziato una differenza critica nei permessi default dei device node /dev/vhost-net e /dev/vhost-vsock.

Su quattro delle cinque distribuzioni — RHEL, Amazon Linux, Azure Linux e Oracle Linux — i device sono world-accessible con permessi 0666. Qualsiasi processo locale, anche senza privilegi, può aprirli e innescare la catena di ioctl. Su Ubuntu 26.04 i permessi sono 0660 root:kvm, limitando la superficie di attacco ai membri del gruppo kvm. Questa differenza non riduce la gravità della falla ma ne modifica la praticità di exploitazione in ambienti multi-utente.

Non emergono segni di exploitazione in-the-wild al momento della disclosure del 12 ottobre 2026. La pubblicazione del PoC su GitHub aumenta tuttavia la probabilità di replicazione.

Cosa fare adesso

Red Hat, Amazon Linux e Oracle Linux hanno rilasciato fix; Ubuntu ha patchato la versione 22.04 e sta elaborando gli aggiornamenti per 24.04 e 26.04. L'applicazione del commit upstream de845981da67 — che aggiunge l'invalidazione della cache dei metadati vring in vhost_vq_set_addr() e vhost_vq_set_num() — è la mitigazione documentata.

Su sistemi che non possono riavviare immediatamente, la restrizione dei permessi dei device node /dev/vhost-* a 0660 root:kvm riduce la superficie di attacco al primo vettore, sebbene non mitighi il vettore guest-to-host dove l'accesso al device è già mediato dal processo QEMU. Non esistono workaround documentati per questo secondo scenario.

La verifica della presenza del commit fix nelle versioni LTS in uso è prioritaria: la finestra di vulnerabilità di circa nove anni — da Linux 4.11 a 7.2-rc4 — significa che molti sistemi enterprise potenzialmente affetti non ricevono più aggiornamenti dal vendor originale e richiedono valutazione caso per caso.

Il dossier non specifica se esistano mitigazioni efficaci oltre al patch del kernel per il vettore guest-to-host, né se il fix sia stato backportato a tutte le versioni LTS interessate o solo a quelle elencate dalle fonti verificate.

L'IA come acceleratore della ricerca: dal fuzzing al multi-agent

Il dato che distingue Vghost dalle advisory kernel standard è il tempo dichiarato di scoperta: circa due ore con Corvus AI, con il modello Hy4-preview integrato nel loop di verifica exploit e validazione patch. The Hacker News ha precisato che si tratta di "machine-assisted research, not an attack run by AI", distinguendo nettamente lo strumento di ricerca da un ipotetico agente autonomo di exploitation.

La metodologia Corvus AI non sostituisce l'analisi umana ma comprime i tempi di identificazione della superficie vulnerabile e della costruzione del trigger. Nel caso Vghost, il sistema ha navigato la complessità del sottosistema vhost — che gestisce traduzioni IOTLB, metadati vring e interazioni virtio-guest — individuando la composizione di comportamenti che sfugge ai test tradizionali.

Questo cambia il calcolo del threat landscape research: se il ciclo discovery-to-PoC si comprime da settimane a ore, il tempo a disposizione dei team difensivi per patching e risposta incident si accorcia corrispondentemente. La domanda non è se l'IA sostituirà i ricercatori umani, ma se le organizzazioni sono strutturate per assorbire vulnerabilità scoperte a questa velocità.

L'affermazione Tencent sui due ore non è verificata indipendentemente; il dossier non chiarisce se il tempo si riferisca alla sola fase di identificazione o all'intero pipeline inclusa verifica e report. Analogamente, non emerge se esistano varianti della stessa classe di bug in sottosistemi kernel simili con cache di traduzione non invalidata su riconfigurazione.

Fonti

• https://thehackernews.com/2026/10/ai-found-linux-kernel-flaw-gives-local.html
• https://www.rapid7.com/blog/post/ai-securing-agent-to-agent-communication-next-identity-frontier
• https://matrix.tencent.com/en/2026/10/12/vghost-cve-2026-74580
• https://mallory.ai/stories/01a1397e-3bd3-7fdb-9712-e6a9a04745a9
• https://securityonline.info/vghost-cve-2026-74580-linux-vhost-poc-disclosed/
• https://appleinsider.com/articles/26/07/27/claude-cowork-can-escape-its-sandbox-rummage-through-all-of-your-files
• https://the420.in/claude-cowork-sharedroot-sandbox-escape-macos-ai-agent-security-flaw/
• https://www.cve.org/CVERecord?id=CVE-2026-74580
• https://thehackernews.com/
• https://thehackernews.com/p/upcoming-hacker-news-webinars.html
• https://thehackernews.com/search/label/Threat%20Intelligence

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

• https://schema.org/FAQPage
• https://schema.org/Question
• https://schema.org/Answer