严重 PwnEscape Linux 内核漏洞允许客户虚拟机读取宿主机内存

新披露的 Linux 内核中的一个严重漏洞允许虚拟机内的代码读取其运行所在宿主计算机的内存。一名研究员针对 Vercel 的实时云沙箱演示了该信息泄露，Vercel 已予以确认。

该漏洞现被追踪为 CVE-2026-99999，绰号 PwnEscape，位于 Linux 内核的网络代码中，而非任何一家云的配置中，因此它触及云提供商用于隔离客户工作负载的共享层。

该漏洞是在 Vercel 的一次安全挑战中被发现并在公开发布前私下报告的，没有迹象表明它已被用于真实攻击。

研究员展示了什么

安全公司 pwn.ai 的 Paulos Yibelo 发现，从虚拟机内发送的特制网络数据包可以做到三件事，他在技术文章中解释道：读取宿主机内存、使宿主机崩溃，并在其上运行代码。这三者都源自同一个内核漏洞。

Vercel 在其关于该挑战的报告中表示，内存泄露是针对其生产沙箱演示的。客户机发出的每个数据包可以带回约 32 字节的宿主机内存，只要持续发送数据包，客户机就可以一直进行下去。

崩溃和代码执行仅在研究员自己的机器上被观察到，这些机器的配置与 Vercel 的相匹配。两个特制的数据包就足以使一台宿主机崩溃，并使其上运行的每个沙箱下线。

利用同一个漏洞，该研究员随后获得了宿主机的管理员控制权，实现了虚拟机逃逸。他强调这是一个实验室结果，"并非声称在任何厂商的生产环境中实现了 root 命令执行"。

"我们的研究通过 Omega-Pwn 运行，这是一个内部测试框架，结合了我们自己的安全研究工具与 SingularityNET 的 OmegaClaw 架构的元素。它让我们能够在长时间运行的研究会话中携带假设、代码追踪、失败尝试和实验结果。GPT-5.6 Sol 是主要的推理引擎。我们指导调查、质疑其发现，并在我们控制的系统上针对实际内核行为验证有趣的发现，"Paulos Yibelo 告诉 The Hacker News。

Vercel 表示，挑战中没有任何报告显示有人读取了客户的文件、机密或应用数据。

严重程度如何，谁能触发它

内核维护者将该漏洞分配为 CVE-2026-99999，并在公布的记录中将其评为 10 分中的 9.3 分，即严重级别。美国国家漏洞数据库已收到该条目，但尚未完成自己的审查。

同一记录将攻击向量列为本地。简而言之，攻击者必须已经在客户机内运行代码，就像该研究员那样。这不是外部人员可以通过在开放互联网上发送数据包来利用的漏洞。

它不在 CISA 的在野利用漏洞目录中，也没有真实世界使用的报告。

为什么它的影响超出 Vercel

Vercel Sandbox 在裸金属 Amazon EC2 宿主机上，将每个客户的代码运行在自己的 Firecracker microVM（一个带有自己 Linux 内核副本的小型虚拟机）中。该 microVM 是客户与宿主机之间、以及客户相互之间的隔墙。

该漏洞不在那道墙里，而是在宿主机运行的 Linux 内核的网络代码中。pwn.ai 表示，Vercel 的沙箱已经加固到超出正常行业标准，没有发现任何配置错误。

由于几乎所有大型云都在 Linux 内核的同一层上隔离客户工作负载，Vercel 表示，那里的漏洞对共享基础设施构成风险，而非针对任何一家提供商。

修复方法及已修复版本

修复是一个单一的 Linux 内核变更，提交号 6785011f8b16，由 Red Hat 的 Michael S. Tsirkin 编写并合入主线内核。它增加了一项检查，确保在内核处理数据包之前，数据包的校验和数据不能指向 IPv4 头部，并在网络代码的五个位置应用该检查。

该变更是有意采取的部分修复。其作者称之为"纵深防御措施"，并指出对数据包进入内核方式的更完整检查仍需继续工作。

维护者已将修复回移到稳定内核分支。根据 CVE 记录，以下是每个受支持分支的首个已修复版本：

稳定分支 首个已修复版本
5.10 5.10.272
5.15 5.15.223
6.1 6.1.190
6.6 6.6.159
6.12 6.12.113
6.18 6.18.57
7.2 7.2.11

Linux 发行版会发布自己的内核，并且通常在不更改版本号的情况下添加此类修复，因此请查看您的发行版公告，以及修复是否存在于宿主机实际运行的内核中，而不仅是 uname 显示的版本号。

该怎么做

将宿主机内核更新到上述已修复版本之一，或包含该修复的厂商构建版本，并重启进入。仅更新客户机的内核无法修复宿主机。来源未提供在无法立即更新时针对此漏洞的单独变通方案。

在必须推迟修补的情况下，通常的做法是限制入侵可能触及的范围。Vercel 表示，它保持宿主机内核最新、禁用嵌套虚拟化，并在 Firecracker 的 jailer 下运行每个 microVM，仅向 microVM 进程授予其所需的权限。这不能修复漏洞，但会缩小利用它的攻击者所能做的事情。

在 100 万美元挑战中被发现

该漏洞是在 Vercel 于 8 月举办的一场为期两周的挑战中被发现的，该挑战向任何能逃逸其沙箱的人提供总计最高 100 万美元的奖金。没有任何单笔奖金达到该数字。每份报告的最高奖励为 50,000 美元；Vercel 就 1,285 份报告共支付了 242,000 美元，而此漏洞是唯一的严重级别发现。

pwn.ai 表示，它使用自己的 AI 辅助研究系统在三天内发现了该漏洞，由模型进行源代码分析，人类研究员指导工作。该公司将成本定在 700 美元以下的 API 令牌。这是研究人员使用大语言模型帮助发现和串联真实漏洞的最新案例，此前今年早些时候，另一个团队曾使用大语言模型进入 OpenAI 的内部系统。