La información sobre la vulnerabilidad «PwnEscape» del kernel de Linux (CVE-2026-99999) se publicó en octubre de 2026. La vulnerabilidad podría permitir que un atacante en una máquina virtual ejecutara código malicioso en el sistema operativo Linux del host. Su gravedad es de 9,3 en una escala del 1 al 10 y está clasificada en el nivel más alto, «Critical».
Una grieta en el «muro» de las máquinas virtuales
Las máquinas virtuales permiten crear varios entornos independientes para distintos usuarios sobre un mismo servidor físico. Muchos VPS, servidores de alojamiento y servicios en la nube se basan en esta tecnología. Confiamos en que no podemos ver ni acceder al entorno de los usuarios vecinos, y por eso los utilizamos con tranquilidad.
PwnEscape ataca precisamente ese muro. Si se puede escapar de la máquina virtual del lado invitado y llegar al Linux del host, existe el riesgo de que se vean afectados otros usuarios que comparten el mismo servidor físico e incluso los sistemas del proveedor. Sería como poder usar la llave de tu piso para entrar en la sala de administración de un edificio.
Un fallo en la comprobación de los datos de comunicación abre la puerta
Los detalles técnicos se han publicado en un correo enviado a Openwall, una lista de correo para especialistas en seguridad. La causa está en el procesamiento de red del kernel de Linux. Según la explicación, un atacante podía modificar datos relacionados con la suma de comprobación («checksum»), que se utiliza para verificar que los datos de comunicación no estén dañados.
En condiciones normales, el kernel verifica la cabecera IPv4 —la parte que contiene, entre otros datos, el destino de la comunicación— y después la procesa como información fiable. Sin embargo, este fallo permitía sustituir la suma de comprobación por la cabecera ya verificada. A partir de ahí, se podía alterar el flujo normal del procesamiento de red, conseguir leer y escribir en posiciones de memoria a las que no se debería tener acceso y, en entornos de investigación, llegar a ejecutar código en el sistema operativo Linux del host.
El asunto del correo es «Guest-to-Host KVM Escape» y apunta a KVM, la tecnología de virtualización de Linux. No obstante, como la causa se encuentra en el procesamiento de red, una parte fundamental del kernel, se considera que el ataque también podría funcionar en entornos distintos de KVM, como los contenedores.
Lo que se ha demostrado y los ataques que podrían llegar
Por ahora, lo que se ha demostrado se limita a entornos de investigación. No se ha informado de que los ataques se estén extendiendo en la práctica.
Por otro lado, el correo apunta a que el sector de la seguridad utilizará esta información para investigar sus efectos en otros hipervisores, es decir, el software que sirve de base para ejecutar máquinas virtuales. También predice que podrían aparecer en unas semanas herramientas de ataque dirigidas a configuraciones con defensas poco estrictas y, en el plazo de un mes, herramientas capaces de funcionar en hipervisores con la configuración predeterminada.
No se trata de hechos confirmados, sino de previsiones. Sin embargo, dado que ya se han hecho públicos detalles técnicos que pueden servir de base para un ataque, lo sensato es actuar teniendo en cuenta que el margen de tiempo es limitado.
Los usuarios deben fijarse en la respuesta del proveedor
Los proveedores que ofrecen máquinas virtuales Linux como servicio son quienes necesitan actuar con mayor urgencia. Un usuario malicioso podría escapar de su propia máquina virtual y atacar a otros usuarios o los sistemas del proveedor.
En Japón, durante la tarde del 17 de octubre de 2026, Sakura Internet anunció que había suspendido las nuevas solicitudes de algunos servicios, entre ellos «Sakura VPS» y «Sakura Rental Server», y que había comenzado a tomar medidas. AWS afirma que sus servicios gestionados de computación y contenedores, como Amazon EC2, AWS Lambda y AWS Fargate, no se ven afectados y que los usuarios no tienen que hacer nada.
Aunque todos sean «máquinas virtuales Linux», el impacto puede variar según el proveedor y la modalidad del servicio. Para las empresas y particulares que utilizan VPS, servidores de alojamiento o servicios en la nube, lo prudente es no confiarse solo por el nombre del servicio y comprobar qué alcance y qué medidas ha comunicado el proveedor para el servicio contratado. La seguridad de la virtualización depende no solo de la configuración del usuario, sino también de las acciones de quienes gestionan la infraestructura.
コメント