微软 FORGE 实验室借助自研 AI 安全扫描系统 MDASH，在 Linux 内核代码里一共找出 59 个安全缺陷，其中已经分配 33 个 CVE 编号，还有一个漏洞已经在代码里隐藏超过 20 年，8 个漏洞在实验室环境验证可实现本地提权拿到 root 权限，这批漏洞已经同步提交给 Linux 内核上游维护团队，大部分漏洞已经提交补丁，不少补丁已经合入主线版本。Linux 内核代码体量巨大、开发周期很长，人工审计很难覆盖到边缘分支、冷门逻辑路径，很多老旧代码长期没有被深度复核，一些漏洞需要多种罕见条件同时触发，常规静态扫描工具很难识别；微软这套方案是大模型配合 QEMU 仿真环境自动复现、验证漏洞，AI 先批量筛出可疑代码，再由安全研究员复核、剔除误报，最后整理成规范漏洞报告提交上游。整个流程先用 AI 批量扫描生成海量原始告警，过滤筛选可复现案例，人工验证风险等级，编写补丁并提交内核社区，社区审核之后逐步合并进主线内核。整体来看，这次研究证明 AI 可以成为内核安全审计的强力辅助工具，能够挖到传统工具漏掉的长期潜伏的底层漏洞，不管是服务器、嵌入式设备还是安卓系统，只要基于对应版本 Linux 内核，都需要关注补丁更新。
一、本次漏洞基础统计信息
| 项目 | 详情说明 |
|---|---|
| 漏洞总数量 | 59 个 Linux 内核缺陷 |
| 已分配 CVE | 33 个 |
| 高危及以上 CVE | 24 个（CVSS≥7.0） |
| 可本地提权至 root | 8 个，实验室验证可用 exp |
| 漏洞平均存在时长 | 8.1 年 |
| 最长潜伏漏洞 | 21 年，长期隐匿在内核代码中 |
| 已合入主线补丁 | 38 个 |
二、微软 AI 漏洞挖掘方案 MDASH 工作流程
- 代码扫描阶段：大模型读取 Linux 内核源码，识别内存释放后复用、越界访问、空指针等典型漏洞模式，输出大量原始可疑告警
- 仿真验证阶段：在 QEMU 虚拟机环境自动构造 POC，尝试复现漏洞，过滤掉无法触发的误报
- 人工复核阶段：安全研究员核对可复现漏洞，评估风险等级、攻击条件、受影响版本
- 报告与补丁：编写漏洞说明、CVE 申请、提交补丁给到 Linux 内核上游维护者
- 主线合并：内核社区评审补丁，分批合并到主线，后续向下游稳定版本回移植
三、漏洞主要类型与攻击条件
- 释放后重用（use-after-free）：是本次检出最多的一类，内核内存释放之后指针没有清空，后续继续访问造成提权
- 边界条件竞争漏洞：需要多个异步操作同时发生，触发条件苛刻，人工测试很难复现
- 攻击前提：绝大多数漏洞属于本地提权漏洞，攻击者需要先拿到本地普通用户权限，不能远程直接攻击
- 影响范围：Linux 服务器、嵌入式 Linux、安卓内核，取决于设备内核版本是否包含对应代码
四、受影响设备与运维处理建议
- 服务器：持续跟进 Linux 主线稳定版更新，等补丁回移植到发行版内核后，安排内核升级
- 安卓设备：需要等待芯片厂商、手机厂商完成内核补丁适配推送，普通用户等待系统 OTA 更新
- 嵌入式设备：工控、网关、物联网设备厂商需要自查内核版本，评估是否需要固件更新
- 临时防护：开启内核自带的安全防护机制，减少本地提权漏洞利用成功率
五、AI 审计和传统安全扫描的区别
- 传统静态扫描：速度快，但误报多，很难识别复杂时序竞争类漏洞
- 人工代码审计：准确率高，但效率极低，很难覆盖海量内核代码
- MDASH 这套 AI 方案：AI 负责批量发现可疑路径 + 自动仿真验证，研究员聚焦风险判定，适合找潜伏多年、触发条件复杂的内核漏洞
【常见问题】
问题 1：微软 AI 发现的 59 个 Linux 内核漏洞，包含那个隐藏超 20 年的缺陷，都可以远程攻击吗？
回答 1：微软 AI 发现的 59 个 Linux 内核漏洞，包括隐藏超 20 年的缺陷，大部分属于本地提权漏洞，攻击者需要先获得本地普通账号权限，无法直接远程发起攻击。
问题 2：微软 FORGE 实验室用 AI 找到 59 个 Linux 内核漏洞，是不是意味着 Linux 内核安全性很差？
回答 2：微软 FORGE 实验室用 AI 找到 59 个 Linux 内核漏洞，是 AI 审计能力提升带来的发现，内核社区接收补丁、快速修复，属于正常的安全研究流程，不代表 Linux 内核整体安全性存在根本性问题。
问题 3：微软借助 AI 挖出的 59 个 Linux 内核漏洞，普通 Linux 用户现在要立刻升级内核吗？
回答 3：微软借助 AI 挖出的 59 个 Linux 内核漏洞，补丁先进入 Linux 主线，各大发行版厂商还需要时间回移植，普通用户等待自己发行版官方推送内核更新即可，不用盲目自行编译主线内核。
问题 4：这次检出的 59 个 Linux 内核漏洞，里面 8 个可 root 的漏洞主要是什么漏洞类型？
回答 4：这次检出的 59 个 Linux 内核漏洞里，8 个可 root 的漏洞以 use-after-free 释放后重用漏洞为主，依赖特定竞争条件，在标准内核环境下可以实现本地权限提升。
【参考资料】
[2026-11-11]（Lessons from 59 Linux Kernel Bug Reports）微软安全博客
[2026-11-12]（微软 AI 发现 59 个 Linux 内核漏洞，含潜伏 21 年缺陷）安全客
[2026-11-12]（Microsoft AI Exposes 21-Year-Old Linux Kernel Bug Among 59 Security Issues）GBHackers News
[2026-11-12]（Microsoft FORGE Lab Discovers 59 Linux Kernel Vulnerabilities Using AI-Assisted Scanning）UNDERCODE NEWS
【免责声明】
本文内容仅为网络安全资讯科普，不构成漏洞利用指导；微软借助 AI 发现的 59 个 Linux 内核漏洞，实际风险取决于内核版本、系统防护配置；服务器、嵌入式设备运维请以 Linux 上游、发行版官方安全公告为准，升级前做好业务备份与兼容性测试。