Kerentanan kernel Linux “PwnEscape” diungkap, mesin virtual berisiko ditembus hingga ke host

Informasi tentang kerentanan kernel Linux “PwnEscape” (CVE-2026-99999) dipublikasikan pada Oktober 2026. Kerentanan ini memungkinkan penyerang di mesin virtual menjalankan kode berbahaya pada OS Linux host di luarnya. Tingkat keparahannya 9,3 pada skala 1 hingga 10, dengan kategori tertinggi, “Critical”.

Retakan pada “dinding” mesin virtual

Mesin virtual adalah teknologi untuk membuat sejumlah lingkungan terpisah bagi para pengguna di atas satu server fisik. Banyak VPS, server sewaan, dan layanan cloud menggunakan teknologi ini. Kita mengandalkan asumsi bahwa lingkungan milik pengguna lain tidak dapat dilihat ataupun disentuh, sehingga merasa aman menggunakannya.

PwnEscape menargetkan dinding itu sendiri. Jika penyerang dapat keluar dari mesin virtual di sisi guest dan mencapai Linux di sisi host, pengguna lain yang berbagi server fisik yang sama maupun sistem milik penyedia layanan bisa ikut terdampak. Ibarat sebuah apartemen, kunci kamar sendiri bisa digunakan untuk masuk ke ruang pengelola.

Celah pada pemeriksaan data komunikasi menjadi pintu masuk

Penjelasan teknisnya dipublikasikan melalui sebuah email yang dikirim ke “Openwall”, milis bagi pakar keamanan. Penyebabnya terletak pada pemrosesan jaringan di kernel Linux. Email tersebut menjelaskan bahwa data terkait “checksum”, yang digunakan untuk memeriksa apakah data komunikasi rusak, dapat diubah oleh penyerang.

Biasanya, header IPv4 yang telah diverifikasi kernel—bagian yang mencantumkan alamat tujuan komunikasi dan informasi lainnya—dipercaya dan pemrosesan dilanjutkan. Namun, akibat celah ini, header yang telah diverifikasi dapat ditulis ulang sebagai pengganti checksum. Dengan memanfaatkan hal tersebut, penyerang dapat mengacaukan alur normal pemrosesan jaringan, membaca dan menulis ke lokasi memori yang seharusnya tak dapat diakses, dan, dalam lingkungan riset, bahkan menjalankan kode pada OS Linux host.

Judul email tersebut berbunyi “Guest-to-Host KVM Escape”, yang merujuk pada lingkungan KVM, fitur virtualisasi Linux. Namun, karena penyebabnya berada pada pemrosesan jaringan, bagian mendasar dari kernel, serangan ini diperkirakan juga dapat dilakukan di lingkungan selain KVM, misalnya lingkungan kontainer.

Cakupan yang telah dibuktikan dan serangan yang diperkirakan akan muncul

Sejauh ini, yang ditunjukkan hanyalah pembuktian dalam lingkungan riset. Tidak ada laporan bahwa serangan nyata telah menyebar.

Di sisi lain, email tersebut memperkirakan bahwa industri keamanan akan menggunakan informasi ini sebagai petunjuk untuk menyelidiki dampaknya terhadap hypervisor lain (perangkat lunak dasar untuk menjalankan mesin virtual). Email itu juga memprediksi bahwa kode serangan yang menargetkan konfigurasi dengan pertahanan lemah akan muncul dalam beberapa minggu, sementara kode yang dapat bekerja pada hypervisor dengan pengaturan awal akan muncul dalam waktu satu bulan.

Ini bukan fakta yang sudah dipastikan, melainkan perkiraan. Namun, karena petunjuk teknisnya sudah dipublikasikan, langkah yang realistis adalah bertindak dengan anggapan bahwa waktu yang tersedia tidak banyak.

Pengguna perlu memperhatikan respons penyedia layanan

Penyedia layanan yang menawarkan mesin virtual Linux sebagai layanan, khususnya, perlu segera mengambil langkah penanganan. Pasalnya, pengguna berniat jahat berpotensi keluar dari mesin virtualnya sendiri dan menyerang pengguna lain atau sistem milik penyedia layanan.

Hingga sore 17 Oktober 2026, Sakura Internet di Jepang mengumumkan bahwa mereka telah menghentikan penerimaan pendaftaran baru untuk sejumlah layanan, termasuk “Sakura VPS” dan “Sakura no Rental Server”, serta mulai mengambil langkah penanganan. AWS menyatakan bahwa layanan komputasi dan kontainer terkelola seperti Amazon EC2, AWS Lambda, dan AWS Fargate tidak terdampak, sehingga pengguna tidak perlu melakukan tindakan apa pun.

Meski sama-sama disebut “mesin virtual Linux”, dampaknya dapat berbeda menurut penyedia dan bentuk layanan. Perusahaan maupun individu yang menggunakan VPS, server sewaan, atau cloud sebaiknya tidak merasa aman hanya berdasarkan nama layanan. Periksa cakupan yang terdampak dan langkah penanganan yang diumumkan penyedia untuk layanan yang digunakan. Keamanan virtualisasi bergantung bukan hanya pada konfigurasi pengguna, tetapi juga pada tindakan pihak yang mengoperasikan infrastrukturnya.