UCloud-202607-001:Linux Kernel eventpoll UAF 本地权限提升漏洞安全告警

Linux 内核是一款开源的类 UNIX 操作系统内核，作为 Linux 系统的核心组件，负责管理系统硬件资源、进程调度、内存管理、文件系统与网络通信等核心功能，为各类应用程序提供底层支撑与系统调用接口。其广泛应用于服务器、桌面终端、移动设备、嵌入式系统与云计算环境，是全球主流 IT 基础设施的核心运行载体。其中 eventpoll（epoll）子系统是 I/O 多路复用的核心组件，能够高效管理大量文件描述符的就绪事件通知，被 Nginx、Redis、消息中间件、数据库及各类高性能服务端程序广泛使用。

 

2026 年 7 月，UCloud 安全中心监测到官方修复 Linux Kernel eventpoll UAF 本地权限提升漏洞（CVE-2026-46242）。

 

经分析，漏洞源于 fs/eventpoll.c 中 ep_remove()（经 ep_remove_file()）在 file->f_lock 临界区内清空 file->f_ep 后仍继续使用 @file（包括 is_file_epoll()、hlist_del_rcu()、spin_unlock 等操作）。并发 __fput() 走 eventpoll_release() 快路径时会观察到瞬时 NULL 并跳过 eventpoll_release_file()，进而触发 f_op->release/file_free()。在 epoll 监视 epoll 的场景下，被监视的 struct eventpoll 被 kfree()，其嵌入的 ->refs hlist_head 正是 epi->fllink.pprev 所指向的位置，导致 hlist_del_rcu() 写入已释放的 kmalloc-192 内存；此外 struct file 为 SLAB_TYPESAFE_BY_RCU，其 slot 可被 alloc_empty_file() 回收并重新初始化 f_lock 与 f_ep，造成针对错误 slab cache 的 kmem_cache_free()。该漏洞 CVSS 3.1 评分 7.8（向量 AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H），漏洞类型 CWE-416（Use After Free）。成功利用后，本地普通用户可直接获取系统 root 最高权限，从而完全控制服务器。

 

目前该漏洞补丁已发布，鉴于影响范围较大，建议客户尽快做好自查及防护。

各发行版的修复进度与具体包版本以对应发行版安全公告为准，可关注以下来源：

 

NVD：https://nvd.nist.gov/vuln/detail/cve-2026-46242

Ubuntu Security Tracker：https://ubuntu.com/security/CVE-2026-46242

Debian Security Tracker：https://security-tracker.debian.org/tracker/CVE-2026-46242

SUSE CVE 页：https://www.suse.com/security/cve/CVE-2026-46242/

上游补丁：https://github.com/torvalds/linux/commit/a6dc643c69311677c574a0f17a3f4d66a5f3744b

 

完成内核升级后，请重启系统以确保补丁生效。