W jądrze Linux odkryto krytyczną podatność o nazwie PwnEscape (CVE-2026-99999), która pozwala na ucieczkę z maszyny wirtualnej (VM). Luka znajduje się w kodzie sieciowym jądra, co oznacza, że dotyczy nie tylko konkretnych dostawców chmury, ale całej współdzielonej infrastruktury opartej na Linuxie.
Badacz z pwn.ai wykazał, że za pomocą specjalnie przygotowanych pakietów sieciowych wysyłanych z wnętrza VM, atakujący może odczytywać pamięć hosta (ok. 32 bajty na pakiet), doprowadzić do awarii systemu lub przejąć nad nim kontrolę administracyjną. Problem został potwierdzony przez firmę Vercel w ich środowiskach sandbox.
Podatność wymaga uprzedniego uruchomienia kodu wewnątrz gościa (guest VM), więc nie jest możliwa do wykorzystania bezpośrednio z internetu. Naprawa została już wprowadzona do głównej linii jądra Linux oraz wersji stabilnych. Kluczowa jest aktualizacja jądra na maszynie hosta, ponieważ aktualizacja samego gościa nie eliminuje zagrożenia.
