La falla PwnEscape nel Linux kernel consente alle VM di leggere la memoria del host
La falla PwnEscape nel Linux kernel consente al codice già in esecuzione all'interno di una virtual machine (VM), un computer isolato basato su software, di leggere la memoria appartenente al suo host fisico. Identificata come CVE-2026-99999, la vulnerabilità è stata scoperta dalla società di sicurezza pwn.ai durante una sfida di sicurezza organizzata da Vercel. Vercel ha confermato che il ricercatore ha dimostrato l'esposizione della memoria contro le sue cloud sandbox operative. Il problema è stato segnalato privatamente prima della pubblicazione e non sono stati segnalati sfruttamenti in casi reali.
PwnEscape si trova nel codice di networking del Linux kernel, anziché in una configurazione specifica di una singola piattaforma cloud. Il kernel è la parte centrale di un sistema operativo che gestisce hardware, memoria e programmi in esecuzione. Secondo il resoconto tecnico di pwn.ai, packet di rete appositamente costruiti e inviati da una VM guest potevano esporre la memoria del host, provocare un crash del host o consentire l'esecuzione di codice su di esso. Tutti questi risultati derivavano dallo stesso difetto sottostante del kernel.
Nella dimostrazione in produzione, Vercel ha dichiarato che ogni packet poteva restituire al guest circa 32 byte di memoria del host. Il processo poteva proseguire finché il guest continuava a trasmettere packet. Vercel ha inoltre affermato che nessuna delle segnalazioni della sfida mostrava accessi a file, segreti o dati applicativi dei clienti. Questa distinzione è importante perché il test ha dimostrato la capacità di oltrepassare un importante confine di isolamento, ma non ha stabilito che fossero state sottratte informazioni dei clienti.
I risultati più dirompenti sono stati dimostrati soltanto su sistemi controllati dal ricercatore e configurati in modo da riprodurre l'ambiente di Vercel. In quei test, due packet appositamente costruiti potevano provocare il crash di un host e arrestare ogni sandbox in esecuzione su di esso. Il ricercatore ha inoltre sfruttato la vulnerabilità per uscire dalla VM e ottenere il controllo del host come amministratore. pwn.ai ha esplicitamente limitato tale affermazione al lavoro di laboratorio e non ha sostenuto di aver eseguito comandi come amministratore nell'ambiente di produzione di alcun fornitore.
Il record CVE pubblicato assegna a CVE-2026-99999 un punteggio di gravità pari a 9,3 su 10, classificandola come Critical. Il National Vulnerability Database statunitense aveva ricevuto il record, ma non aveva ancora completato la propria revisione. L'attack vector indicato è locale, il che significa che un aggressore deve prima essere in grado di eseguire codice all'interno di una VM guest. Non viene descritta come una vulnerabilità che un soggetto esterno non autenticato può attivare semplicemente inviando traffico tramite Internet pubblico. La falla non era inclusa nel catalogo delle vulnerabilità attivamente sfruttate della Cybersecurity and Infrastructure Security Agency e non risultavano segnalazioni di attacchi che la utilizzassero.
Vercel Sandbox colloca il codice dei clienti in Firecracker microVMs separate, ossia piccole virtual machine, su host Amazon EC2 bare-metal. Ogni microVM dispone del proprio Linux kernel e crea un confine tra il workload del cliente, il host e gli altri clienti. PwnEscape interessa il codice di networking utilizzato dal kernel del host, quindi la debolezza si trova al di sotto di quel confine del guest. pwn.ai ha riferito di non aver rilevato alcuna configurazione errata pertinente e ha descritto la sandbox come già sottoposta a misure di hardening superiori ai normali standard del settore. Vercel ha dichiarato che questo tipo di debolezza del kernel può interessare le infrastrutture condivise, poiché i grandi ambienti cloud si affidano comunemente al livello Linux kernel per separare i workload.
La correzione nel Linux kernel mainline è il commit 6785011f8b16. La modifica verifica che le informazioni di checksum dei packet non puntino all'interno del header IPv4 prima che il kernel le elabori, applicando la convalida in cinque punti del codice di networking. Il suo autore presso Red Hat ha descritto la modifica come una misura di defence-in-depth, anziché come una soluzione completa. Era ancora necessario lavorare a un controllo più completo del percorso attraverso il quale i packet entrano nel kernel.
I responsabili della manutenzione di Linux hanno eseguito il backport della modifica nei branch stable supportati. Il record CVE identifica come prime release corrette la 5.10.272 per il branch 5.10, la 5.15.223 per il 5.15, la 6.1.190 per il 6.1, la 6.6.159 per il 6.6, la 6.12.113 per il 6.12, la 6.18.57 per il 6.18 e la 7.2.11 per il 7.2. Le distribuzioni Linux possono aggiungere correzioni di sicurezza ai propri package del kernel senza adottare esattamente questi numeri di versione. Gli amministratori dovrebbero quindi consultare l'avviso della propria distribuzione e verificare che il kernel del host in esecuzione contenga la correzione, anziché affidarsi soltanto alla versione mostrata dal comando uname.
La risoluzione del problema richiede l'aggiornamento del kernel del host a una release stable corretta o a un package della distribuzione contenente la correzione, seguito da un riavvio con tale kernel. Aggiornare soltanto la VM guest non corregge il host vulnerabile. Non è stato indicato alcun workaround separato per i sistemi che non possono ancora essere aggiornati. Quando il deployment deve essere rinviato, limitare le autorizzazioni del host e la portata dei singoli workload può ridurre le potenziali conseguenze senza correggere il difetto sottostante. Vercel ha dichiarato di mantenere aggiornati i kernel dei host, disabilitare la nested virtualization e utilizzare il jailer di Firecracker per limitare le autorizzazioni disponibili a ciascun processo microVM.
La vulnerabilità è emersa da una sfida di due settimane tenuta ad agosto, con un massimo complessivo di 1 milione di dollari disponibile per tutti i finding. Nessun singolo premio ha raggiunto tale importo. La ricompensa più alta per una singola segnalazione è stata di 50.000 dollari e Vercel ha pagato 242.000 dollari per 1.285 segnalazioni. PwnEscape è stato l'unico finding classificato Critical della sfida. pwn.ai ha dichiarato di aver individuato la falla in tre giorni e di aver speso meno di 700 dollari in token per application programming interface destinati al proprio sistema di ricerca assistito dall'IA. Il sistema ha utilizzato Omega-Pwn, elementi dell'architettura OmegaClaw di SingularityNET e GPT-5.6 Sol per l'analisi del codice sorgente, mentre ricercatori umani hanno diretto l'indagine e verificato i risultati rispetto al comportamento del Linux kernel su sistemi sotto il loro controllo. La divulgazione segue un caso separato avvenuto all'inizio dell'anno, nel quale un altro team ha utilizzato un large language model per raggiungere sistemi interni di OpenAI.
Per le organizzazioni che, dopo questa divulgazione, stanno esaminando la propria infrastruttura, AEU Data offre infrastrutture europee per cloud e dati. Indipendentemente dal fornitore, i proprietari di siti web e le aziende dovrebbero ottenere conferma che i host fisici che supportano le loro virtual machine abbiano ricevuto la correzione del kernel, poiché le modifiche apportate soltanto all'interno di una VM in hosting non sono sufficienti.