PwnEscape: Kritische Linux-Kernel-Lücke lässt VMs den Host-Speicher auslesen

Eine kritische Lücke im Linux-Kernel erlaubt es Code in einer virtuellen Maschine, den Speicher des Host-Rechners auszulesen, den Host abstürzen zu lassen und im Labor sogar Befehle mit Root-Rechten auf dem Host auszuführen. Die Schwachstelle heißt PwnEscape und wird als CVE-2026-99999 geführt, Bewertung 9,3 von 10 (kritisch). Betroffen ist nicht ein einzelner Cloud-Anbieter, sondern der Netzwerkcode des Linux-Kernels selbst, und zwar seit Kernel 2.6.27 aus dem Jahr 2008.

Wer KVM-Hosts betreibt, etwa mit Proxmox, sollte den Host-Kernel zeitnah aktualisieren und neu starten.

Das Wichtigste in Kürze

• Lücke: CVE-2026-99999 „PwnEscape“ im IPv4-Netzwerkstack des Linux-Kernels, CVSS 9,3.
• Folgen: Auslesen von Host-Speicher, Absturz des Hosts, im Labor Ausbruch aus der VM mit Root-Rechten auf dem Host.
• Voraussetzung: Der Angreifer muss bereits Code in einer VM ausführen. Über das Internet allein ist die Lücke nicht angreifbar.
• Betroffen: Kernel ab 2.6.27, gepatcht in 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.57 und 7.2.11.
• Ausnutzung: Bisher keine Angriffe in freier Wildbahn bekannt.

Was hinter PwnEscape steckt

Gefunden hat die Lücke der Sicherheitsforscher Paulos Yibelo von der Firma pwn.ai. Er nahm im August 2026 an einer Sandbox-Challenge von Vercel teil, bei der Forscher versuchen sollten, aus Vercels isolierter Laufzeitumgebung auszubrechen. Vercel Sandbox startet jeden Kundencode in einer eigenen Firecracker-microVM auf Amazon-EC2-Hosts.

Der Fehler steckt nicht im Hypervisor, sondern im Netzwerkstack des Hosts. Eine VM schickt ihre Pakete über eine virtuelle Netzwerkkarte (virtio-net) an ein TAP-Gerät des Hosts. Dabei kann der Gast Prüfsummen-Metadaten mitgeben, die der Host-Kernel später verwendet, um die Prüfsumme des Pakets zu vervollständigen. Mit manipulierten Werten zeigt diese Prüfsummenposition mitten in den IPv4-Header. Der Kernel überschreibt dann ein Feld des Headers, nachdem er ihn bereits geprüft hat, und vertraut danach auf die veränderte Headerlänge. Bei der Fragmentierung des Pakets kopiert er so Speicher über das Paket hinaus und schickt ihn mit hinaus.

Laut Vercel konnte jedes Paket rund 32 Byte Host-Speicher mitnehmen, und das so lange, wie der Gast Pakete sendet. Zwei präparierte Pakete reichten, um einen Host abstürzen zu lassen und damit alle Sandboxen darauf. Die Speicherleck-Variante wurde gegen Vercels Produktivsystem gezeigt, Absturz und Codeausführung auf nachgebauten Systemen des Forschers. Yibelo betont, das sei ein Laborergebnis und „keine Behauptung einer Root-Codeausführung in der Produktionsumgebung eines Anbieters“.

Vercel zufolge gibt es keinen Hinweis darauf, dass während der Challenge Kundendaten ausgelesen wurden.

Gefunden mit KI-Unterstützung

Bemerkenswert ist, wie die Lücke gefunden wurde: pwn.ai setzte ein eigenes Forschungssystem ein, in dem ein großes Sprachmodell (GPT-5.6 Sol) den Quellcode analysierte, während Menschen die Untersuchung steuerten und die Ergebnisse auf echten Systemen prüften. Bis zum Fund vergingen laut pwn.ai drei Tage, die API-Kosten lagen unter 700 US-Dollar.

Vercel zahlte in der zweiwöchigen Challenge insgesamt 242.000 US-Dollar für 1.285 Meldungen aus. PwnEscape war der einzige als kritisch eingestufte Fund.

Wer betroffen ist

Der Fehler sitzt im Code, den die Kernel-Entwickler bis in die TUN/TAP-Unterstützung mit Offloading aus Kernel 2.6.27 zurückverfolgen. Praktisch jeder Linux-Host, auf dem VMs ihre Netzwerkpakete über TAP-Geräte an den Host-Kernel geben, nutzt diesen Pfad. Das betrifft große Cloud-Anbieter genauso wie KVM-Hosts im eigenen Rechenzentrum oder im Homelab. Der Patch nennt außerdem die Paket-Sockets mit Offload-Unterstützung als zweiten Ursprung des Problems.

Wichtig für die Einordnung: Ein Angreifer muss bereits Code in einer VM ausführen können. Für Anbieter, die fremden Code in VMs laufen lassen, ist das der Normalfall und damit ein ernstes Risiko. Im Homelab mit eigenen VMs ist das Risiko geringer, aber nicht null: Wird eine VM kompromittiert, etwa ein öffentlich erreichbarer Webserver, könnte der Angreifer darüber den ganzen Host angreifen.

Gepatchte Kernel-Versionen

Der Fix stammt von Michael S. Tsirkin (Red Hat) und prüft, dass die Prüfsummenposition nicht in den IPv4-Header zeigen kann, bevor der Kernel die Prüfsumme vervollständigt. Tsirkin bezeichnet die Änderung selbst als „Defence in Depth“: Eine vollständigere Prüfung schon beim Eingang der Pakete soll folgen.

Distributionen pflegen eigene Kernel und übernehmen solche Fixes oft, ohne die Versionsnummer zu ändern. Maßgeblich ist daher der Sicherheitshinweis deiner Distribution beziehungsweise deines Hypervisor-Herstellers, nicht allein die Ausgabe von uname -r.

Was du jetzt tun solltest

• Host-Kernel aktualisieren auf eine der genannten Versionen oder den Distributions-Kernel mit dem Fix, und neu starten. Ohne Neustart läuft der alte Kernel weiter.
• Nur den Host patchen reicht: Ein Update des Gast-Kernels in der VM schließt die Lücke nicht.
• Bei Proxmox VE auf das nächste Kernel-Update aus den Proxmox-Repositories achten und danach den Host neu starten.
• Prüfen, welcher Kernel tatsächlich läuft, und ihn mit dem Sicherheitshinweis der Distribution abgleichen.
• Wo das Update warten muss: verschachtelte Virtualisierung abschalten, VM-Prozesse mit möglichst wenigen Rechten betreiben (Vercel nennt hierfür den Firecracker-Jailer) und nicht vertrauenswürdige VMs nicht auf kritischen Hosts betreiben. Einen echten Workaround für die Lücke gibt es laut den Quellen nicht.

uname -r
# Debian/Ubuntu/Proxmox: verfügbare Updates prüfen
apt update && apt list --upgradable | grep -i -E "linux-image|pve-kernel|proxmox-kernel"

Die Lücke steht derzeit nicht im CISA-Katalog aktiv ausgenutzter Schwachstellen, und es sind keine Angriffe bekannt. Da die technischen Details aber inzwischen öffentlich sind, sollte man mit dem Update nicht lange warten.

Quellen

• pwn.ai: PwnEscape, Guest-to-Host KVM Escape (CVE-2026-99999)
• Vercel: Findings from the $1M Vercel Sandbox challenge
• Linux-Kernel-Commit 6785011f8b16
• NVD: CVE-2026-99999
• The Hacker News: Critical PwnEscape Linux Kernel Vulnerability