目录

Pwn.ai 报告称，该公司以沙箱逃逸挑战为契机，发现了 Linux 网络处理漏洞 CVE-2026-99999，并在其测试环境中成功实现从客户机到宿主机的完整逃逸。基于 KVM 的服务运营者需要确认宿主机内核的补丁安装情况，以及提供商的影响评估结果。

要点#

  • 据 Pwn.ai 称，研究人员演示了从不可信虚拟机读取宿主机内存、进行受控写入，以及以 root 权限执行命令。
  • 报告中的缺陷位于 Linux 内核的网络协议栈，因此，“KVM 逃逸”这一称呼并不意味着 KVM 本身存在缺陷。
  • Vercel 的挑战将奖金总额上限设为 100 万美元，推动了突破虚拟机边界的研究。
  • 所提供的报告记述了相关各方协作修复的过程，但未列出受影响的内核版本、已修复版本或补丁提交。

逃逸突破的边界#

虚拟机用于将客户机代码与宿主机操作系统隔离。从客户机到宿主机的逃逸打破了这一边界：在 VM 内运行的代码能够触及承载该 VM 的系统。

根据 pwn.ai 于 2026 年 10 月 15 日发布的报告，研究人员开发了一种攻击，从泄露宿主机内存逐步发展到受控内存写入，最终以 root 权限执行命令。整个攻击过程已在研究人员管理的 KVM 环境中得到演示。

这一结果对在虚拟机内运行不可信工作负载的服务具有重要意义。但它并不表明所有 KVM 环境都可被攻击。是否受到影响，取决于环境中是否存在相关内核代码，以及能否访问攻击所需的网络处理路径。

这项挑战为何重要#

2026 年 8 月 18 日，Vercel 宣布了一项沙箱安全挑战，奖金总额上限为 100 万美元。该挑战邀请研究人员同时调查网络限制，以及将客户机 VM 与宿主机隔离的更坚固边界。

Pwn.ai 着手研究 VM 逃逸。据该公司团队介绍，他们将人工分析与实验性研究平台“Omega-Pwn”及 GPT-5.6 Sol 模型相结合。研究人员在三天内发现并演示了一种泄露宿主机内存的基本方法。

这里的“三天”指的是最初的内存泄露方法。所提供的说明无法证实，完整获取 root 权限、漏洞披露流程及补丁协调工作也在同一时间段内完成。

缺陷的原理#

报告中的缺陷涉及对用于延后网络校验和计算的元数据验证不足。由于对链路层与网络层边界的假设存在差异，后续的校验和处理可能会修改已经通过验证的 IPv4 头部。

这种修改可能改变内核对数据包的解析。在研究人员展示的示例中，原本为 20 字节的 IPv4 头部可能看起来占用了 60 字节。结果，内核可能将相邻的宿主机内存当作 IP 选项处理，并将这些数据包含在出站流量中。

通过反复泄露，攻击者可以获取宿主机内存信息。据 Pwn.ai 称，他们将这一能力与其他方法相结合，实现了受控读写，并进一步以 root 权限执行命令。所提供的说明缺乏足够细节，无法独立验证攻击的完整过程及其前提条件。

运营者应确认的事项#

据报告称，研究人员与 Vercel 联合 Linux 内核开发者及受影响组织，准备并分发了修复补丁。这足以说明应查看厂商公告，但尚不足以据此选择具体的内核更新。

对于每台运行不可信 VM 的宿主机，请确认以下四项。

  • 记录正在运行的内核版本和发行版的软件包修订版本。
  • 查找明确说明已处理 CVE-2026-99999 的厂商安全公告。
  • 确认已部署的网络配置是否符合公告中列出的受影响条件。
  • 安装厂商已修复的软件包，按要求重启后，确认运行的是已修复内核。

发行版内核通常会回移植修复补丁，因此，仅凭上游版本号可能无法判断补丁安装情况。对于托管服务，请向提供商询问评估结果和处理进展。

为何仅凭编号几乎无法证明任何事#

Pwn.ai 工程师 Paulos Yibelo 于 10 月 19 日表示，考虑到该漏洞的影响及其揭示的攻击面，Linux 维护者有意提出了 CVE-2026-99999 这一标识符。

这是 Yibelo 的说法。一个容易记忆的编号，不能替代受影响版本列表、技术公告或针对具体环境的评估。

后续步骤#

查看所用 Linux 厂商关于 CVE-2026-99999 的安全公告，并将已修复软件包的修订版本与 VM 宿主机当前运行的内核进行核对。

来源: https://gihyo.jp/article/2026/10/cve-2026-99999

目录