高危预警：Linux内核Bad Epoll漏洞（CVE-2026-46242）允许本地用户一键提权至Root(影响Linux 6.4+与Android的本地提权漏洞)

一、漏洞概述

CVE-2026-46242，代号 "Bad Epoll" ，是Linux内核eventpoll（epoll）子系统中一个竞争条件导致的释放后重用（use-after-free, UAF）漏洞。该漏洞CVSS评分为7.8，属于高危漏洞。

核心风险：允许一个没有任何特殊权限的本地普通用户，通过运行精心构造的程序，将自身权限提升至root，从而完全控制受害系统。

二、技术原理

Linux的epoll是一种高效的I/O事件通知机制，被Nginx、Chrome等大量现代服务和应用使用。

Bad Epoll漏洞本质上是epoll文件释放路径中的 "close-vs-close"竞争条件。具体而言：

1. 触发场景：当一个epoll文件描述符（fd）正在监视另一个epoll fd时，如果这两个fd被同时关闭。

2. 竞态窗口：内核中两条清理路径会并发执行。其中一条路径将某个内核对象释放，而另一条路径仍在向该已释放的内存区域写入数据。

3. 微小的时间窗口：这个触发条件的时间窗口极短，大约只有6条CPU指令的宽度。因此，随机的、非针对性的尝试几乎不可能成功。

4. 高可靠性利用：研究人员Jaeyoung Chung开发的漏洞利用程序（PoC）通过特殊技术扩大了竞争窗口，并加入了一个不会导致系统崩溃的重试循环，使得在测试系统上的成功率高达99%。

最终，利用程序通过泄漏内核内存，并借助面向返回编程（ROP）链劫持CPU指令指针，从而获得root权限。

三、影响范围

• 受影响的内核版本：Linux内核 6.4 及以上版本。该漏洞是在2023年的一次代码提交中被引入的。

• 受影响的操作系统：

• Linux桌面和服务器：所有使用上述受影响内核的发行版。

• Android设备：运行受影响内核（如6.6版本）的Android设备，例如Google Pixel 10已确认受影响。

• 不受影响的系统：基于Linux 6.1及更早版本的长期支持（LTS）内核不受影响，例如Pixel 8。Ubuntu的22.04 LTS及更早版本也不受影响。

四、与AI发现漏洞的关联

该漏洞的特殊之处在于它与AI漏洞研究的关联。

• 在此同一段epoll代码中，Anthropic公司的AI模型Mythos此前发现了另一个竞争条件漏洞（CVE-2026-43074）。

• 然而，Mythos却错过了"Bad Epoll"。

• 遗漏原因分析：

1. 时间窗口极小：仅6条指令的竞争窗口在代码审查中极难被察觉。

2. KASAN失效：KASAN（Kernel Address Sanitizer）是Linux内核检测内存错误的主要工具。但一旦CVE-2026-43074被修复，"Bad Epoll"的触发不再会触发KASAN报警，使其在运行时难以被自动检测到。

这一案例凸显了当前AI在发现高度复杂的并发漏洞方面仍存在局限性。

五、修复状态与建议

• 补丁状态：漏洞的正确修复补丁已于2026年4月底合并到Linux内核主线。最初提供的补丁未能完全修复问题，正确的补丁在漏洞报告约两个月后才最终完成。

• 修复版本：该漏洞在Linux内核版本 6.18.33 及后续版本中被修复。

• 关键提交：修复该问题的关键上游补丁是 a6dc643c6931。

强烈建议所有使用Linux内核6.4及以上版本的系统（包括Android设备）立即更新至已修复的内核版本。由于epoll是Linux的核心基础组件，无法通过关闭服务或修改配置来规避风险。

六、当前威胁状态

• PoC已公开：研究人员Jaeyoung Chung已公开发布了完整的漏洞技术细节和概念验证（PoC）利用代码。

• 在野利用：截至2026年7月初，尚无证据表明该漏洞已被用于真实世界的攻击，它也未被列入CISA的已知被利用漏洞（KEV）目录。

• 利用场景：该漏洞甚至可能从Chrome浏览器的渲染器沙箱内部触发，这使得其潜在危害进一步放大。