CVE-2026-99999 у мережевому коді ядра Linux дозволяє гостьовій VM читати пам'ять хоста, а в лабораторії дослідника Paulos Yibelo з pwn.ai ще й виконувати код від root, за даними Cloud Security Alliance Labs.
Для продуктів, що запускають код агентів чи клієнтів у microVM, висновок прямий: межа гість-хост ймовірно вважається останньою сильною лінією захисту, але вона успадковує вразливості ядра хоста. Вибір гіпервізора, Firecracker це чи KVM, питання експозиції не розв'язує.
Як гість читає пам'ять хоста?
Гостьова VM керує метаданими офлоаду контрольної суми IPv4-пакетів, а ядро хоста не перевіряє, що значення csum_start лежить поза вже розпарсеним заголовком. Red Hat-розробник Michael S. Tsirkin пояснив у розсилці ядра, за даними Linux Magazine: «Якщо пакет з поганими метаданими контрольної суми потрапляє в стек ipv4, skb_checksum_help може пошкодити мережевий заголовок і спричинити купу проблем».
Практично 20-байтовий заголовок перетворюється на 60-байтовий після того, як ядро вже ухвалило рішення за оригінальним розміром. Тоді близько 32 байт сусідньої пам'яті ядра потрапляють в поле опцій вихідного пакета. Гість може повторювати це, доки надсилає пакети, тож витік потоковий, а не одноразовий. Вразливий код існує з Linux 2.6.27, випущеного 2008 року.
Як саме дослідники пройшли від доступу до пам'яті хоста до виконання коду, описано за даними блогу pwn.ai: вони знайшли процес Firecracker, змінили збережені регістри потоку vCPU і змусили його виконати вибраний виклик після повернення з KVM. Firecracker при цьому продовжив працювати, а VM лишилася доступною по SSH.
Що підтверджено, а що лише в лабораторії?
CSA Labs розділяє наслідки на рівні доказів. Витік пам'яті хоста підтверджено на продакшн-пісочницях Vercel, а крах хоста і виконання коду від root дослідник показав лише на власному KVM- і Firecracker-стенді, налаштованому під Vercel. Vercel повідомила, що жодна заявка в межах її bug bounty не показала доступу до даних клієнтів. Публічного експлойта і задокументованої експлуатації в реальних атаках у переглянутих CSA джерелах немає.
Оцінку CVSS 9,3 наводить Linux Magazine. Рейтинги Critical від Red Hat і CNA ядра CSA Labs взяла з вторинних джерел і не звіряла з першоджерелами, а прямий пошук у NVD на момент написання запису не дав. Дослідник також не розкрив частину ланцюжка, чутливу до алокатора пам'яті, тому невідомо, наскільки легко лабораторний результат переноситься на хости з іншою конфігурацією ядра. Виконання коду від root на довільних продакшн-хостах CSA Labs вважає можливим, але недоведеним.
Коли вийшло виправлення?
CVE і патчі ядра стали публічними 14 і 15 жовтня, а AlmaLinux 16 жовтня випустила виправлені ядра в тестовий канал. Патч відхиляє пакети, у яких початок контрольної суми лежить усередині заголовка IPv4, і застосований у п'яти мережевих шляхах коду. Tsirkin назвав його заходом defense-in-depth. Обхідного рішення не опубліковано.
Хронологія: Vercel відкрила двотижневий bug bounty для Sandbox 18 серпня 2026 року з винагородами до $1 млн. У фінальному підсумку 1 285 заявок і $242 000 виплат, одна Critical-знахідка: це ядерний zero-day, який Yibelo виявив на третій день програми. Про знахідку він публічно оголосив 3 жовтня в X фразою «Full VM escape zeroday (guest>host root in industry standard hypervisors)!». За словами Linux Magazine, за неї він отримав $50 000.
Що робити операторам хостів зараз?
Єдиний шлях закрити дірку: оновити ядро хоста і перезавантажити машину. Перед цим звірте номер коміту й версії стабільних гілок із бюлетенем вашого вендора або з історією upstream-комітів: у CSA Labs ці дані взяті з дистрибутивних і медійних джерел, а не з репозиторію ядра. Той самий CSA радить перевірити сам запис CVE-2026-99999 у NVD, CVE.org або трекері дистрибутива, перш ніж використовувати його в автоматизованих інструментах.
