W środowisku Wasmtime, popularnym runtime dla WebAssembly, odkryto dwie krytyczne luki o wysokiej punktacji CVSS (9.9). Podatności te znajdują się w kompilatorze Cranelift i pozwalają na ucieczkę z piaskownicy, co oznacza, że złośliwy kod może wyjść poza narzucone mu ograniczenia pamięci i funkcji hosta.
Pierwsza luka (CVE-2026-115889) dotyczy wszystkich architektur procesorów i wynika z przepełnienia pola 24-bitowego przy przechowywaniu wartości w Cranelift, co prowadzi do błędów typu confusion. Druga (CVE-2026-115893) dotyczy wyłącznie systemów ARM64 i wiąże się z błędnym skokiem w instrukcji brtable, gdy tabela jest zbyt duża dla dostępnego zasięgu skoku.
Zagrożenie jest największe dla usług, które kompilują i uruchamiają kod dostarczany przez zewnętrznych użytkowników. Najważniejszą informacją dla administratorów i programistów jest fakt, że Wasmtime może być częścią większych aplikacji jako biblioteka, więc aktualizacja samego narzędzia wiersza poleceń nie wystarczy – każda aplikacja korzystająca z Wasmtime musi zostać ponownie skompilowana z poprawioną wersją runtime'u.
