# CVE-2026-99999: уразливість ядра Linux ламає ізоляцію AI-пісочниць

> Помилка в мережевому коді ядра Linux дає гостьовій VM читати пам'ять хоста, а в лабораторії дослідника ще й виконувати код від root. Виправлення вже є.

- Опубліковано: 7 листопада 2026 р. (2026-11-07T05:23:30.113532+00:00)
- Розділ: Безпека AI
- На основі публікації: [HN 100+](https://pwn.ai/blog/firecracker-escape)
- Видання: AiiN (https://aiin.news)
- URL: https://aiin.news/article?slug=cve-2026-99999-%D1%83%D1%80%D0%B0%D0%B7%D0%BB%D0%B8%D0%B2%D1%96%D1%81%D1%82%D1%8C-%D1%8F%D0%B4%D1%80%D0%B0-linux-%D0%BB%D0%B0%D0%BC%D0%B0%D1%94-%D1%96%D0%B7%D0%BE%D0%BB%D1%8F%D1%86%D1%96%D1%8E-ai-%D0%BF%D1%96%D1%81%D0%BE%D1%87%D0%BD%D0%B8%D1%86%D1%8C

---

CVE-2026-99999 у мережевому коді ядра Linux дозволяє гостьовій VM читати пам'ять хоста, а в лабораторії дослідника Paulos Yibelo з pwn.ai ще й виконувати код від root, [за даними Cloud Security Alliance Labs](https://labs.cloudsecurityalliance.org/research/csa-research-note-pwnescape-linux-kernel-vm-escape-agent-san/).

Для продуктів, що запускають код агентів чи клієнтів у microVM, висновок прямий: межа гість-хост ймовірно вважається останньою сильною лінією захисту, але вона успадковує вразливості ядра хоста. Вибір гіпервізора, Firecracker це чи KVM, питання експозиції не розв'язує.

## Як гість читає пам'ять хоста?

Гостьова VM керує метаданими офлоаду контрольної суми IPv4-пакетів, а ядро хоста не перевіряє, що значення csum_start лежить поза вже розпарсеним заголовком. Red Hat-розробник Michael S. Tsirkin пояснив у розсилці ядра, [за даними Linux Magazine](https://www.linux-magazine.com/Online/News/PwnEscape-Poses-VM-Vulnerability): «Якщо пакет з поганими метаданими контрольної суми потрапляє в стек ipv4, skb_checksum_help може пошкодити мережевий заголовок і спричинити купу проблем».

Практично 20-байтовий заголовок перетворюється на 60-байтовий після того, як ядро вже ухвалило рішення за оригінальним розміром. Тоді близько 32 байт сусідньої пам'яті ядра потрапляють в поле опцій вихідного пакета. Гість може повторювати це, доки надсилає пакети, тож витік потоковий, а не одноразовий. Вразливий код існує з Linux 2.6.27, випущеного 2008 року.

Як саме дослідники пройшли від доступу до пам'яті хоста до виконання коду, описано [за даними блогу pwn.ai](https://pwn.ai/blog/firecracker-escape): вони знайшли процес Firecracker, змінили збережені регістри потоку vCPU і змусили його виконати вибраний виклик після повернення з KVM. Firecracker при цьому продовжив працювати, а VM лишилася доступною по SSH.

## Що підтверджено, а що лише в лабораторії?

CSA Labs розділяє наслідки на рівні доказів. Витік пам'яті хоста підтверджено на продакшн-пісочницях Vercel, а крах хоста і виконання коду від root дослідник показав лише на власному KVM- і Firecracker-стенді, налаштованому під Vercel. Vercel повідомила, що жодна заявка в межах її bug bounty не показала доступу до даних клієнтів. Публічного експлойта і задокументованої експлуатації в реальних атаках у переглянутих CSA джерелах немає.

Оцінку CVSS 9,3 наводить Linux Magazine. Рейтинги Critical від Red Hat і CNA ядра CSA Labs взяла з вторинних джерел і не звіряла з першоджерелами, а прямий пошук у NVD на момент написання запису не дав. Дослідник також не розкрив частину ланцюжка, чутливу до алокатора пам'яті, тому невідомо, наскільки легко лабораторний результат переноситься на хости з іншою конфігурацією ядра. Виконання коду від root на довільних продакшн-хостах CSA Labs вважає можливим, але недоведеним.

## Коли вийшло виправлення?

CVE і патчі ядра стали публічними 14 і 15 жовтня, а AlmaLinux 16 жовтня випустила виправлені ядра в тестовий канал. Патч відхиляє пакети, у яких початок контрольної суми лежить усередині заголовка IPv4, і застосований у п'яти мережевих шляхах коду. Tsirkin назвав його заходом defense-in-depth. Обхідного рішення не опубліковано.

Хронологія: Vercel відкрила двотижневий bug bounty для Sandbox 18 серпня 2026 року з винагородами до $1 млн. У фінальному підсумку 1 285 заявок і $242 000 виплат, одна Critical-знахідка: це ядерний zero-day, який Yibelo виявив на третій день програми. Про знахідку він публічно оголосив 3 жовтня в X фразою «Full VM escape zeroday (guest>host root in industry standard hypervisors)!». За словами Linux Magazine, за неї він отримав $50 000.

## Що робити операторам хостів зараз?

Єдиний шлях закрити дірку: оновити ядро хоста і перезавантажити машину. Перед цим звірте номер коміту й версії стабільних гілок із бюлетенем вашого вендора або з історією upstream-комітів: у CSA Labs ці дані взяті з дистрибутивних і медійних джерел, а не з репозиторію ядра. Той самий CSA радить перевірити сам запис CVE-2026-99999 у NVD, CVE.org або трекері дистрибутива, перш ніж використовувати його в автоматизованих інструментах.

---

Теги: AI, Security, Linux, Vercel, Firecracker, CVE

Джерело: AiiN — https://aiin.news/article?slug=cve-2026-99999-%D1%83%D1%80%D0%B0%D0%B7%D0%BB%D0%B8%D0%B2%D1%96%D1%81%D1%82%D1%8C-%D1%8F%D0%B4%D1%80%D0%B0-linux-%D0%BB%D0%B0%D0%BC%D0%B0%D1%94-%D1%96%D0%B7%D0%BE%D0%BB%D1%8F%D1%86%D1%96%D1%8E-ai-%D0%BF%D1%96%D1%81%D0%BE%D1%87%D0%BD%D0%B8%D1%86%D1%8C. Цитуючи, посилайтесь на канонічний URL.