CVE-2026-99999：关键的PwnEscape Linux内核漏洞允许从来宾逃逸到主机

一个关键的 Linux 内核漏洞（编号为 CVE-2026-99999），被称为 PwnEscape，可以破坏虚拟机与其底层主机之间的隔离界限。该漏洞位于 Linux 网络栈中，可能允许运行在客机 VM 内的攻击者控制的代码泄露主机内存，使主机崩溃，并且在实验室条件下，达到从客机到主机的代码执行。

该漏洞的 CVSS 3.1 评分为 9.3，特别与云提供商、沙箱运营商、CI/CD 平台、恶意软件分析环境，以及其他执行不可信工作负载的组织相关。

安全研究员 Paulos Yibelo 在参加 Vercel 的 100 万美元沙箱安全挑战时发现了 PwnEscape。研究人员演示了特定构造的客机源网络数据包如何反复泄露 Vercel 生产沙箱的主机内存。更高级的主机写入和 Root 执行链则仅在研究者控制的系统上再现，不应被解释为 Vercel 生产基础设施中 Root 被侵入的证据。

该漏洞并非源于 KVM、Firecracker 或特定云平台，而是存在于 Linux IPv4 包处理中，这意味着基础漏洞可能影响更广泛的虚拟化和沙箱体系结构，它们对客机控制的流量暴露相关的主机网络路径。

组织可以借助 SOC Prime 的 AI 本地化检测智能平台提升其安全态势，对抗新兴威胁，并加速威胁狩猎和检测工程在 SIEM、EDR、XDR 和数据湖环境中的应用。

安全专业人员还可以使用 Prime Architect 研究新兴漏洞，将技术威胁情报转化为检测逻辑，生成狩猎查询，验证规则，并将检测内容适应于组织的遥测。

联系我们的销售团队

CVE-2026-99999 分析

CVE-2026-99999 影响版本 2.6.27 中引入的 Linux 内核代码，与在 IPv4 校验和完成之前不当验证校验和元数据有关。根据 Linux 内核的 CVE 公告，进入 IPv4 栈的畸形校验和元数据可能导致 skb_checksum_help() 修改内核已经处理并信任的网络头。

核心问题涉及延迟的校验和处理。Linux 允许网络数据包携带元数据，指示从何处开始校验和操作及其结果应写入何处。这一优化是合法的，并被广泛用于校验和卸载，但当不太信任的客机控制元数据可以在数据包头已通过先前验证阶段后影响写入时，安全问题就出现了。

在 PwnEscape 的研究中，一个精心制作的数据包最初呈现出一个正常的 IPv4 头，互联网头长度 (IHL) 对应于 20 字节。后来延迟的校验和操作可能会修改相同的头部，使其 IHL 表示 60 字节头部。后续的分段逻辑信任这种改变的值，并复制了超过数据包有效逻辑内容的数据。

研究人员通过这种行为演示了 32 字节主机内存的泄露。畸形数据包包含 28 字节的有效线性数据包数据，而修改后的头部导致内核将 60 字节视为有效头部内容。导致的差异暴露了 32 字节的主机，而非客机控制的数据包。

因为这种泄露可以反复触发，控制客机工作负载的攻击者可能会从虚拟机不应能检查的安全域中收集信息。这代表了客机-主机隔离界限的直接失效。

研究人员随后在控制的 KVM 环境中扩展了原语。利用从主机内存泄露获取的信息和精心操控的内存分配，他们演示了选定的主机内核写入，最终在主机上执行了 root 级别的助手。完整的逃逸链在研究人员拥有的系统四次冷启动过程中再现。

这种区分很重要。演示的内存泄露在 Vercel 的实时沙箱基础设施上得到了重现，但主机写入和 Root 执行阶段仅在控制的研究环境中演示。Vercel 报告称没有证据显示漏洞暴露了客户文件、机密或应用数据。

因此，该漏洞是一种客机到主机的逃逸原语，而不是一种可以通过公共互联网直接到达的常规远程代码执行漏洞。官方的 CVSS 向量使用本地攻击向量，因为攻击者必须首先能够在可到达易受攻击的主机网络路径的客机环境中执行代码。

这使得 PwnEscape 特别关系到多租户基础设施，其中运行不可信代码是预期服务模式的一部分。云开发沙箱、构建服务、在线编码平台、恶意软件沙箱、无服务器系统和 AI 代理执行环境可能有意为用户或自动化工作负载提供客机级别的代码执行。

该漏洞获得了 CVSS 3.1 评分为 9.3（严重） 其向量 AV:L/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H 的变更范围反映了恶意活动从客机安全边界内影响主机的能力。

Linux 内核 CVE 团队表示，易受攻击的行为可以追溯到内核 2.6.27。该问题通过由 Red Hat 的 Michael S. Tsirkin 编写的上游提交 6785011f8b16 得到了处理，引入了验证以确保校验和起始位置不能指向已解析的 IPv4 头内。

接受的修复在五个受影响的网络路径上应用了验证，但上游开发人员将此更改描述为深度防御措施，并指出入站阶段对畸形校验和元数据的更广泛验证需要额外工作。

发现的时间线始于 Vercel 在 2026 年 8 月 18 日推出其安全挑战后不久。pwn.ai 在 8 月 20 日提交了初步有界主机内存泄露，并于 9 月 4 日将 Linux 内核根本原因私下报告给内核安全联系人和网络维护人员。Michael S. Tsirkin 于 9 月 7 日重现了该问题，最终的上游修复于 10 月 8 日被接受进入 net.git，然后于 10 月 14 日并入 Linus Torvalds 的 tree。CVE 于 2026 年 10 月 15 日公开宣布。

一个 CVE-2026-99999 PoC 实质上可通过 PwnEscape 的技术研究获得，该研究详细记录了数据包操控和有界主机内存泄露。然而，研究人员尚未公布完整的分配器敏感链条，曾用于将泄露转化为可靠主机控制，保留这些细节供进一步研究。

在撰写本文时，没有公开证据表明 PwnEscape 在真实世界攻击中被恶意利用，也未被列入 CISA 的已知利用漏洞目录中。

针对 CVE-2026-99999 检测，安全团队应优先关注来自不可信虚拟机的可疑行为可见性、意外与客机网络活动相关的主机内核崩溃、异常的或异常的 IPv4 分段行为，以及沙箱化工作负载生成的网络流量后出现的异常主机端影响。

不同于具有稳定文件哈希或命令和控制基础设施的恶意软件活动，利用发生在内核网络行为中。因此检测更依赖主机遥测、虚拟化监控、网络异常、崩溃分析以及客机活动与意外主机行为之间的相关性。

CVE-2026-99999 缓解措施

Linux 内核 CVE 团队建议升级到包含安全修复的最新支持的稳定内核，而不是单独选择某个提交。内核修复作为稳定版本的一部分进行测试，Linux 维护人员明确反对将独立提交视为独立支持的补丁。

目前列出的上游稳定分支中首个修复的版本是：

• Linux 5.10： 5.10.272
• Linux 5.15： 5.15.223
• Linux 6.1： 6.1.190
• Linux 6.6： 6.6.159
• Linux 6.12： 6.12.113
• Linux 6.18： 6.18.57
• Linux 7.2： 7.2.11
• 主线： 7.3-rc7

修复也可能被 Linux 发行版反向移植而不与这些上游版本号匹配。管理员因此应咨询其发行版的安全通告，并确认当前运行的主机内核包含相关补丁，而不是仅仅依赖 uname 显示的版本。

重要的是，组织必须更新 主机内核。仅更新运行在客机虚拟机中的内核并不能消除 PwnEscape 攻击中描述的易受攻击的主机网络路径。

安装更新的内核后，系统必须重启到补丁版本。对于大型虚拟化环境，安全团队应验证每个管理程序或沙箱主机上的活动内核，而不是假设仅通过安装包就完成了修复。

运营多租户或不可信执行基础设施的组织应优先修补，因为这些环境本身就使潜在的恶意工作负载有从客机级别执行代码到达易受攻击的攻击面上。

深度防御措施可以减少完成修补期间可能的逃逸的后果。例如，Vercel 使用 Firecracker 看守限制，禁用嵌套虚拟化，并限制提供给单个 microVM 进程的主机权限。这些措施不能修复内核漏洞，但它们可以减少成功逃逸可以访问的范围。

为了检测 CVE-2026-99999 利用尝试，安全团队应将客机源网络活动与异常主机行为相关联，特别是内核崩溃、异常分段事件、无法解释的主机内存曝光或处理来宾流量后的虚拟化进程异常行为。

目前没有特定于 CVE-2026-99999 的活动相关 IOCs，如恶意哈希、域名或攻击者 IP 地址，因为尚未公开确认任何真实世界的利用活动。因此，行为监测和内核修补状态的验证比静态指示符匹配更有用。

云提供商和运行不可信客户工作负载的组织还应审查与来宾生成的网络活动时间上相关的异常的内核恐慌日志、虚拟机遥测、主机网络跟踪和历史崩溃事件。

如果可疑活动指示可能的逃逸，组织应将底层主机视为可能的妥协对象，而不是只隔离客机 VM。事件响应者应在可行的情况下保留主机内存和相关网络遥测，调查在同一系统上运行的其他工作负载，并评估是否有主机凭据、机密或邻近工作负载可能已暴露。

SOC Prime 的 AI 本地化检测智能平台可以帮助安全团队运营化漏洞情报，加速跨基础设施、网络和端点遥测的行为威胁狩猎，同时根据可用数据源调整检测内容。