【漏洞预警】Linux 内核本地提权（CVE-2026-46242）

发布日期： 2026 年 6 月 26 日
风险等级： 高危
漏洞编号： CVE-2026-46242（Bad Epoll）

---

一、漏洞概述

Linux kernel 是 Linux 操作系统的核心内核，负责进程调度、内存管理、文件系统、网络和系统调用等基础能力。eventpoll / epoll 是高性能 I/O 事件通知机制，被服务器、桌面应用、容器运行时和 Android 系统广泛使用。

CVE-2026-46242（Bad Epoll）是 Linux kernel fs/eventpoll.c 中条件竞争导致的 Use-After-Free 漏洞。非特权本地进程可通过并发关闭嵌套 epoll fd，使一条 close 路径释放 struct eventpoll / struct file，另一条路径仍继续读写该对象，最终可构造内核任意读、控制流劫持并 提权为 root 或实现容器逃逸。

该漏洞也可从 Chrome renderer sandbox 内触发，具备与浏览器漏洞链式组合的 沙箱逃逸 风险。

---

二、漏洞状态

统计截止： 2026 年 6 月 25 日 18:00:00（UTC+8）

---

三、影响范围

影响 Linux Kernel 6.4 至 7.0 中，尚未包含以下修复 commit 的内核版本：

a6dc643c69311677c574a0f17a3f4d66a5f3744b

典型受影响场景：

• 运行上述版本内核的 Linux 服务器与工作站
• 使用受影响内核的容器宿主机（存在容器逃逸风险）
• 部署无头浏览器、Chrome/Chromium 等多进程沙箱应用的环境
• 基于受影响内核分支的 Android 及其他嵌入式 Linux 系统

---

四、修复建议

1. 跟踪发行版安全更新
   主流 Linux 发行版尚未完全发布对应安全补丁版本，请持续关注各发行版安全通告与漏洞检测告警，并在补丁可用后尽快升级内核。

2. 验证修复 commit 是否已合入
   自行维护内核的用户，请确认当前运行内核已包含 commit a6dc643c69311677c574a0f17a3f4d66a5f3744b 或发行版提供的等价 backport 修复。

3. 版本检查示例

bash
uname -r

---

五、临时缓解措施

在无法立即升级内核前，建议采取以下措施：

1. 限制系统权限
   仅对可信用户开放 shell 及本地登录权限；减少非必要账户的多用户共享访问。

2. 加强容器与虚拟化隔离
   对运行不可信工作负载的宿主机优先安排内核升级；敏感业务考虑临时迁移至已修复内核的节点。

3. 限制无头浏览器访问范围
   无头浏览器、自动化爬虫等场景仅访问可信站点，降低 renderer sandbox 被链式利用的风险。

4. 启用监控与告警
   关注异常本地进程行为、内核 oops / panic 日志，并结合 EDR 或主机安全产品做异常检测。

---

六、参考链接

• Bad Epoll 项目：https://github.com/J-jaeyoung/bad-epoll
• 漏洞分析与 exploit 文档：CVE-2026-46242 exploit docs
• PoC 源码：lts-6.12.67 exploit.cpp
• Debian Security Tracker：CVE-2026-46242

---

请各环境管理员尽快排查内核版本，并在官方补丁发布后优先完成升级。