Linuxカーネルの脆弱性「PwnEscape」（CVE-2026-99999）に関する情報が2026年10月に公開されました。仮想マシン上の攻撃者が、その外側にあるホストのLinux OSで不正なコードを実行できる可能性があるというものです。深刻度は1から10の指標で9.3、区分は最上位の「Critical」とされています。
仮想マシンという「壁」に入った亀裂
仮想マシンは、1台の物理サーバーの上に利用者ごとの独立した環境をいくつも作る技術です。VPSやレンタルサーバー、クラウドの多くがこの仕組みで成り立っており、隣の利用者の環境は見えないし触れない、という前提で私たちは安心して使っています。
PwnEscapeが突いているのは、その壁そのものです。ゲスト側の仮想マシンから抜け出してホスト側のLinuxに到達できるとすれば、同じ物理サーバーを共有する他の利用者や、事業者側のシステムまで巻き込まれる恐れがあります。マンションに例えるなら、自室の鍵を使って管理室に入れてしまうような話です。
通信データの検査の隙が入り口に
技術的な解説は、セキュリティ専門家向けのメーリングリスト「Openwall」に投稿されたメールで公開されています。原因はLinuxカーネルのネットワーク処理にあり、通信データが壊れていないかを確かめる「チェックサム」に関連するデータが、攻撃者によって書き換えられる状態だったと説明されています。
本来、カーネルが検証を済ませたIPv4ヘッダー（通信の宛先などを記した部分）は信頼されて処理が進みます。ところがこの欠陥のせいで、検証済みのヘッダーをチェックサムの代わりに書き換えることができました。これを足がかりにネットワーク処理の正常な流れを壊し、本来触れられないメモリー位置の読み書きを実現し、研究環境ではホスト側Linux OSでのコード実行まで到達したとされています。
メールのタイトルには「Guest-to-Host KVM Escape」とあり、Linuxの仮想化機能であるKVM環境が示されています。ただ、原因はネットワーク処理というカーネルの根幹部分にあるため、KVM以外の環境、たとえばコンテナ環境でも攻撃が成立しうると見られています。
実証された範囲と、これから来る攻撃
現時点で示されているのは、あくまで研究環境での実証です。実際の攻撃が広がっているという話ではありません。
一方でメールの中では、セキュリティ業界がこの情報を手がかりにほかのハイパーバイザー（仮想マシンを動かす基盤ソフト）への影響を調べるだろうという見方が示されています。そのうえで、防御が緩い構成を狙った攻撃コードは数週間以内に、初期設定のままのハイパーバイザーで動く攻撃コードも1カ月以内に登場するという予測が語られています。
これは確定した事実ではなく見通しです。ただ、技術的な手がかりが公になった以上、猶予は長くないと考えて動くのが現実的でしょう。
利用者が見るべきは事業者の対応
とくに急ぎの対策が求められるのは、Linux仮想マシンをサービスとして提供する事業者です。悪意ある利用者が自分の仮想マシンから抜け出し、他の利用者や事業者のシステムを攻撃する可能性があるためです。
2026年10月17日午後の時点で、日本ではさくらインターネットが「さくらのVPS」や「さくらのレンタルサーバ」を含む一部サービスの新規申し込みを停止し、対策を始めたと発表しています。AWSは、Amazon EC2、AWS Lambda、AWS Fargateなどのマネージドな計算・コンテナサービスは影響を受けず、利用者側の対応も不要としています。
同じ「Linuxの仮想マシン」でも、事業者や提供形態によって影響の有無は変わります。VPSやレンタルサーバー、クラウドを使っている企業や個人は、サービス名だけで安心せず、利用中のサービスについて事業者がどんな対象範囲と対応状況を示しているかを確かめておくのが賢明です。仮想化の安全性は利用者の設定だけでなく、基盤を運営する側の動きにも左右されます。
コメント