La faille Vghost (CVE-2026-74580) du noyau Linux donne les droits root et menace l'isolation des machines virtuelles.

Une nouvelle faille Vghost secoue l’écosystème Linux. Référencée sous l’identifiant CVE-2026-74580, elle touche le sous-système vhost du noyau. Un simple utilisateur local peut ainsi lire et écrire dans la mémoire du noyau à sa guise. Il devient alors root. Le problème concerne près d’une décennie de versions du noyau.

Dans un scénario de virtualisation précis, l’impact est encore plus grave. En effet, une machine virtuelle non fiable peut écrire dans la mémoire de l’hôte. Elle peut ensuite détourner le programme chargé de l’exécuter.

Une faille Vghost dans le sous-système vhost

Le sous-système vhost fait partie du noyau Linux. Il sert généralement à accélérer les échanges entre un invité virtuel et son hôte. Autrement dit, il se trouve sur un chemin très sensible. Une erreur à cet endroit touche directement la frontière entre deux mondes censés rester séparés.

La vulnérabilité a été baptisée Vghost. Elle offre une primitive de lecture et d’écriture arbitraire en mémoire noyau. C’est l’une des situations les plus favorables pour un attaquant. Avec un tel levier, il peut modifier les structures qui gouvernent les privilèges. Il peut aussi contourner de nombreuses protections.

Par ailleurs, la fenêtre d’exposition est très large. Le défaut remonte à presque dix ans de versions du noyau. De nombreux systèmes anciens, mais encore en production, sont donc potentiellement concernés.

Deux scénarios d’attaque à distinguer

Il faut d’abord séparer les deux cas d’usage. Ils n’ont pas le même profil de risque.

L’élévation de privilèges locale

Dans le premier cas, l’attaquant dispose déjà d’un accès local au système. Il peut s’agir d’un compte à faibles droits. Il peut aussi s’agir d’un processus compromis. Grâce à la faille, il lit et écrit dans la mémoire du noyau. Il obtient ensuite les droits root.

Ce scénario est classique, mais il reste redoutable. Il transforme une intrusion modeste en compromission totale. Sur un serveur partagé, il peut donc ouvrir la voie à d’autres comptes et à d’autres données.

L’évasion d’une machine virtuelle

Dans le second cas, la cible est l’hôte de virtualisation. Une machine virtuelle non fiable peut écrire dans la mémoire de l’hôte. Elle peut ensuite prendre le contrôle du programme qui fait tourner cette machine. Ce programme s’exécute côté hôte. Par conséquent, l’attaquant sort de son cadre isolé.

Ce type d’évasion est particulièrement craint dans le cloud. Un hébergeur accueille parfois des invités appartenant à des clients inconnus. Si l’un d’eux franchit la barrière, les autres locataires du même hôte sont en danger.

Une découverte signée Tencent Zhuque Lab

La faille a été identifiée par Tencent Zhuque Lab. Selon les informations disponibles, la recherche s’est appuyée sur l’intelligence artificielle. Cette approche illustre une tendance de fond. Les outils d’analyse automatisée repèrent désormais des défauts anciens dans du code très audité.

Cependant, cette efficacité a un revers. Les mêmes méthodes peuvent aussi servir à des acteurs malveillants. Le délai entre la découverte d’une faille et son exploitation pourrait donc se réduire. C’est pourquoi les correctifs doivent être appliqués rapidement.

À ce stade, il faut rester prudent sur les détails d’exploitation. Les éléments publics ne précisent pas tous les paramètres. Il est notamment utile de vérifier quelles configurations de vhost sont réellement exposées.

Pourquoi la faille Vghost inquiète les hébergeurs

Le noyau Linux équipe une grande partie des serveurs, des conteneurs et des hyperviseurs. Une erreur dans un composant de virtualisation a donc un effet démultiplicateur. De plus, l’élévation de privilèges est souvent la deuxième étape d’une attaque. Un pirate entre d’abord par une application web vulnérable. Il cherche ensuite à devenir root.

Les environnements multi-locataires sont les plus exposés. Les plateformes de virtualisation, les offres de serveurs privés virtuels et les infrastructures de développement partagées sont concernées. En revanche, une machine isolée sans utilisateur non fiable présente un risque plus limité. Elle reste toutefois à corriger.

Recommandations pour les administrateurs

Les équipes techniques peuvent agir dès maintenant. Voici les premières mesures à envisager.

• Identifier les systèmes qui utilisent le sous-système vhost, en particulier les hôtes de virtualisation.
• Consulter les avis de sécurité de votre distribution pour la CVE-2026-74580.
• Appliquer les mises à jour du noyau dès qu’elles sont disponibles, puis redémarrer les machines concernées.
• Limiter les comptes locaux et les charges de travail non fiables sur les hôtes sensibles.
• Surveiller les journaux pour repérer toute activité inhabituelle côté hôte.

Ce qu’il faut retenir

La faille Vghost, suivie sous la référence CVE-2026-74580, est grave. Elle permet à un utilisateur local de devenir root. Elle peut aussi aider une machine virtuelle non fiable à s’échapper vers l’hôte. Elle touche près de dix ans de versions du noyau Linux. Enfin, elle a été trouvée par Tencent Zhuque Lab. La priorité est donc simple : inventorier les hôtes exposés et déployer les correctifs dès leur publication.

Source : AI-Found Linux Kernel Flaw Gives Local Users Root, and Can Break a Guest Out to the Host