Linux 核心漏洞「PwnEscape」（CVE-2026-99999）的相關資訊於2026年10月公開。攻擊者可能從虛擬機器中，在外部的 Linux 主機作業系統上執行惡意程式碼。其嚴重程度在1至10分的評級中為9.3，等級為最高級的「Critical」。
虛擬機器這道「牆」出現裂縫
虛擬機器是一種技術，可在一台實體伺服器上建立多個彼此獨立、供不同使用者使用的環境。VPS、租用伺服器和許多雲端服務都是以這種機制為基礎；我們也正是基於「看不到、也無法碰觸隔壁使用者的環境」這項前提，安心使用這些服務。
PwnEscape 攻擊的正是這道牆本身。如果攻擊者能從客體虛擬機器脫逃，進入主機端的 Linux 系統，就可能波及共用同一台實體伺服器的其他使用者，甚至服務供應商的系統。打個比方，就像用自己房間的鑰匙闖進大樓管理室。
通訊資料檢查的漏洞成為突破口
技術細節刊載於一封寄往資安專家郵件論壇「Openwall」的電子郵件。說明指出，漏洞源自 Linux 核心的網路處理機制；與用來確認通訊資料是否損毀的「檢查碼」相關資料，可能遭攻擊者竄改。
正常情況下，核心完成驗證的 IPv4 標頭（記載通訊目的地等資訊的部分）會被視為可信資料並繼續處理。然而，由於這項漏洞，攻擊者能以經過驗證的標頭取代檢查碼，藉此破壞網路處理的正常流程，進而讀寫原本無法存取的記憶體位置。據稱，研究人員已在研究環境中進一步於主機端 Linux 作業系統上執行程式碼。
電子郵件標題寫著「Guest-to-Host KVM Escape」，指的是 Linux 虛擬化功能 KVM 環境。不過，由於漏洞位於網路處理這項核心的基礎機制，外界認為 KVM 以外的環境，例如容器環境，也可能受到攻擊。
已驗證的範圍，以及即將出現的攻擊
目前公布的僅是在研究環境中完成的實證，並不代表實際攻擊已開始擴散。
另一方面，郵件中指出，資安業界可能會以這項資訊為線索，調查其他虛擬機器監視器（用來執行虛擬機器的基礎軟體）是否受到影響。郵件也預測，針對防護較弱組態的攻擊程式碼可能在數週內出現，而能在使用預設設定的虛擬機器監視器上運作的攻擊程式碼，也可能在1個月內問世。
這並非已確定的事實，而是對未來情勢的預測。不過，既然技術線索已經公開，務實的做法是將可用時間不多納入考量，及早採取行動。
使用者應關注服務供應商的因應措施
尤其需要立即採取措施的是提供 Linux 虛擬機器服務的業者。因為惡意使用者可能從自己的虛擬機器脫逃，攻擊其他使用者或業者的系統。
截至2026年10月17日下午，日本的 Sakura Internet 已宣布，暫停包括「Sakura VPS」和「Sakura Rental Server」在內的部分服務接受新申請，並開始採取因應措施。AWS 則表示，Amazon EC2、AWS Lambda、AWS Fargate 等代管運算與容器服務不受影響，使用者也無須採取任何措施。
即使同樣是「Linux 虛擬機器」，是否受到影響也會因業者和服務型態而異。使用 VPS、租用伺服器或雲端服務的企業與個人，不應只看服務名稱就認為無虞；最好確認業者對所使用的服務公布了哪些影響範圍和因應進度。虛擬化的安全性不只取決於使用者的設定，也會受到負責營運基礎設施一方的作為影響。
コメント