Informationen zur Linux-Kernel-Schwachstelle „PwnEscape“ (CVE-2026-99999) wurden im Oktober 2026 veröffentlicht. Ein Angreifer innerhalb einer virtuellen Maschine könnte dadurch möglicherweise unbefugten Code im Linux-Betriebssystem des Hostsystems ausführen. Der Schweregrad wird auf einer Skala von 1 bis 10 mit 9,3 bewertet; die Einstufung lautet „Critical“, die höchste Stufe.
Ein Riss in der „Mauer“ der virtuellen Maschine
Mit virtuellen Maschinen lassen sich auf einem einzigen physischen Server mehrere voneinander unabhängige Umgebungen für verschiedene Nutzer einrichten. Viele VPS-, Hosting- und Cloud-Angebote beruhen auf dieser Technik. Wir nutzen sie in der Annahme, dass wir die Umgebung anderer Nutzer weder sehen noch darauf zugreifen können.
PwnEscape zielt auf genau diese Mauer. Gelingt es, aus der virtuellen Maschine auf der Gastseite auszubrechen und das Linux-System auf der Hostseite zu erreichen, könnten auch andere Nutzer desselben physischen Servers oder sogar die Systeme des Anbieters betroffen sein. Auf ein Mehrfamilienhaus übertragen wäre das, als könnte man mit dem Schlüssel zur eigenen Wohnung in den Hausmeisterraum gelangen.
Eine Lücke bei der Prüfung von Kommunikationsdaten als Einfallstor
Eine technische Beschreibung wurde in einer E-Mail veröffentlicht, die auf der Mailingliste „Openwall“ für Sicherheitsexperten erschien. Die Ursache liegt in der Netzwerkverarbeitung des Linux-Kernels. Der Beschreibung zufolge konnten Angreifer Daten überschreiben, die mit der „Prüfsumme“ zusammenhängen – mit ihr wird überprüft, ob Kommunikationsdaten beschädigt sind.
Normalerweise gelten IPv4-Header, die der Kernel geprüft hat – also Teile mit Angaben wie dem Kommunikationsziel –, als vertrauenswürdig und werden entsprechend verarbeitet. Aufgrund dieser Schwachstelle ließ sich der geprüfte Header jedoch anstelle der Prüfsumme überschreiben. Dies diente als Ausgangspunkt, um den regulären Ablauf der Netzwerkverarbeitung zu stören und Lese- und Schreibzugriffe auf Speicherbereiche zu ermöglichen, auf die Angreifer normalerweise keinen Zugriff haben. In einer Forschungsumgebung gelang es den Angaben zufolge schließlich, Code im Linux-Betriebssystem des Hosts auszuführen.
Der Titel der E-Mail lautet „Guest-to-Host KVM Escape“ und verweist damit auf KVM, die Virtualisierungsfunktion von Linux. Da die Ursache jedoch in der Netzwerkverarbeitung und damit in einem zentralen Bestandteil des Kernels liegt, wird davon ausgegangen, dass der Angriff auch in anderen Umgebungen als KVM, etwa in Containerumgebungen, möglich sein könnte.
Was bisher nachgewiesen wurde – und welche Angriffe noch kommen könnten
Bislang wurde der Angriff lediglich in einer Forschungsumgebung demonstriert. Es gibt keine Berichte darüber, dass sich Angriffe in der Praxis bereits ausbreiten.
In der E-Mail heißt es allerdings, die Sicherheitsbranche werde die Informationen zum Anlass nehmen, die Auswirkungen auf andere Hypervisoren – also Softwareplattformen zum Betrieb virtueller Maschinen – zu untersuchen. Außerdem wird prognostiziert, dass Angriffscode für schlecht abgesicherte Konfigurationen innerhalb weniger Wochen und Angriffscode, der auf Hypervisoren mit Standardeinstellungen funktioniert, innerhalb eines Monats auftauchen könnte.
Dabei handelt es sich nicht um gesicherte Tatsachen, sondern um eine Einschätzung. Da die technischen Hinweise nun öffentlich sind, ist es jedoch realistisch, davon auszugehen, dass nur wenig Zeit bleibt.
Nutzer sollten auf die Reaktion ihres Anbieters achten
Besonders dringender Handlungsbedarf besteht bei Anbietern, die Linux-VMs als Dienst bereitstellen. Ein böswilliger Nutzer könnte aus seiner virtuellen Maschine ausbrechen und andere Nutzer oder die Systeme des Anbieters angreifen.
Am Nachmittag des 17. Oktober 2026 teilte Sakura Internet in Japan mit, dass das Unternehmen für einige Dienste, darunter „Sakura no VPS“ und „Sakura no Rental Server“, keine neuen Anmeldungen mehr annimmt und mit Gegenmaßnahmen begonnen hat. AWS erklärt, verwaltete Rechen- und Containerdienste wie Amazon EC2, AWS Lambda und AWS Fargate seien nicht betroffen; Nutzer müssten nichts unternehmen.
Auch bei „Linux-VMs“ hängt es vom Anbieter und der Art des Angebots ab, ob ein Dienst betroffen ist. Unternehmen und Privatpersonen, die VPS-, Hosting- oder Cloud-Angebote nutzen, sollten sich nicht allein auf den Namen des Dienstes verlassen, sondern prüfen, welche betroffenen Angebote der Anbieter nennt und welche Maßnahmen er ergriffen hat. Die Sicherheit der Virtualisierung hängt nicht nur von den Einstellungen der Nutzer ab, sondern auch davon, wie der Betreiber der zugrunde liegenden Plattform reagiert.
コメント