Linux कर्नेल की कमजोरी ‘PwnEscape’ सार्वजनिक, वर्चुअल मशीन से होस्ट में घुसपैठ का खतरा

Linux कर्नेल की कमजोरी ‘PwnEscape’ (CVE-2026-99999) की जानकारी अक्टूबर 2026 में सार्वजनिक हुई। इससे वर्चुअल मशीन पर मौजूद हमलावर के लिए उसके बाहर के होस्ट Linux OS पर दुर्भावनापूर्ण कोड चलाना संभव हो सकता है। इसकी गंभीरता 1 से 10 के पैमाने पर 9.3 है और इसे सर्वोच्च श्रेणी ‘Critical’ में रखा गया है।

वर्चुअल मशीन की ‘दीवार’ में दरार

वर्चुअल मशीन एक ऐसी तकनीक है, जिससे एक भौतिक सर्वर पर अलग-अलग उपयोगकर्ताओं के लिए कई स्वतंत्र वातावरण बनाए जाते हैं। VPS, रेंटल सर्वर और अधिकांश क्लाउड सेवाएं इसी व्यवस्था पर आधारित हैं। हम इस भरोसे के साथ इनका इस्तेमाल करते हैं कि दूसरे उपयोगकर्ता का वातावरण न तो हमें दिखेगा, न ही हम उसे छू सकेंगे।

PwnEscape इसी दीवार को निशाना बनाता है। अगर कोई अतिथि वर्चुअल मशीन से निकलकर होस्ट के Linux तक पहुंच सकता है, तो इससे उसी भौतिक सर्वर को साझा करने वाले दूसरे उपयोगकर्ताओं और सेवा प्रदाता के सिस्टम तक प्रभावित हो सकते हैं। अपार्टमेंट की मिसाल लें, तो यह ऐसा है जैसे अपने फ्लैट की चाबी से प्रबंधन कक्ष में घुसा जा सके।

संचार डेटा की जांच में खामी बनी प्रवेश का रास्ता

तकनीकी जानकारी सुरक्षा विशेषज्ञों की मेलिंग सूची ‘Openwall’ पर पोस्ट किए गए ईमेल में सार्वजनिक की गई है। बताया गया है कि समस्या Linux कर्नेल की नेटवर्क प्रोसेसिंग में है। हमले की वजह यह थी कि संचार डेटा में गड़बड़ी न होने की जांच करने वाले ‘चेकसम’ से जुड़ा डेटा हमलावर द्वारा बदला जा सकता था।

आम तौर पर, कर्नेल जिस IPv4 हेडर (संचार का गंतव्य आदि बताने वाला हिस्सा) की जांच कर चुका होता है, उस पर भरोसा करके आगे की प्रक्रिया की जाती है। लेकिन इस खामी के चलते जांच किए गए हेडर को चेकसम की जगह लिखना संभव था। इसका सहारा लेकर नेटवर्क प्रोसेसिंग के सामान्य क्रम को बाधित किया गया और मेमोरी के उन हिस्सों को पढ़ना-लिखना संभव हुआ जिन्हें सामान्य तौर पर छुआ नहीं जा सकता। बताया गया है कि शोध वातावरण में हमले के जरिए होस्ट Linux OS पर कोड चलाने तक पहुंचा गया।

ईमेल का शीर्षक ‘Guest-to-Host KVM Escape’ था, जो Linux के वर्चुअलाइजेशन फीचर KVM की ओर संकेत करता है। हालांकि, समस्या कर्नेल के बुनियादी हिस्से—नेटवर्क प्रोसेसिंग—में है, इसलिए माना जा रहा है कि KVM के अलावा अन्य वातावरणों, जैसे कंटेनर, में भी हमला सफल हो सकता है।

अब तक साबित हुई सीमा और आने वाले हमले

फिलहाल जो दिखाया गया है, वह केवल शोध वातावरण में किया गया प्रदर्शन है। इसका मतलब यह नहीं है कि वास्तविक हमले बड़े पैमाने पर हो रहे हैं।

दूसरी ओर, ईमेल में यह अनुमान जताया गया है कि सुरक्षा उद्योग इस जानकारी के आधार पर अन्य हाइपरवाइज़र (वर्चुअल मशीन चलाने वाला आधार सॉफ्टवेयर) पर इसके असर की जांच करेगा। इसमें यह भी अनुमान है कि कमजोर सुरक्षा वाले कॉन्फ़िगरेशन को निशाना बनाने वाला अटैक कोड कुछ हफ्तों के भीतर सामने आ सकता है, जबकि डिफ़ॉल्ट सेटिंग वाले हाइपरवाइज़र पर काम करने वाला अटैक कोड एक महीने के भीतर आ सकता है।

यह कोई पुष्ट तथ्य नहीं, बल्कि एक अनुमान है। लेकिन तकनीकी सुराग सार्वजनिक हो जाने के बाद यह मानकर चलना व्यावहारिक होगा कि तैयारी के लिए समय ज्यादा नहीं है।

उपयोगकर्ताओं को सेवा प्रदाता की कार्रवाई पर नजर रखनी चाहिए

Linux वर्चुअल मशीन को सेवा के रूप में देने वाले प्रदाताओं के लिए खास तौर पर तुरंत कदम उठाना जरूरी है। इसकी वजह यह है कि कोई दुर्भावनापूर्ण उपयोगकर्ता अपनी वर्चुअल मशीन से बाहर निकलकर दूसरे उपयोगकर्ताओं या प्रदाता के सिस्टम पर हमला कर सकता है।

17 अक्टूबर 2026 की दोपहर तक, जापान में साकुरा इंटरनेट ने घोषणा की थी कि उसने ‘साकुरा VPS’ और ‘साकुरा रेंटल सर्वर’ समेत कुछ सेवाओं के लिए नए आवेदन लेना रोक दिया है और उपाय शुरू कर दिए हैं। AWS का कहना है कि Amazon EC2, AWS Lambda और AWS Fargate जैसी प्रबंधित कंप्यूटिंग और कंटेनर सेवाएं प्रभावित नहीं हैं और उपयोगकर्ताओं को अपनी ओर से कोई कदम उठाने की जरूरत नहीं है।

‘Linux वर्चुअल मशीन’ एक जैसी होने पर भी, असर पड़ेगा या नहीं यह सेवा प्रदाता और सेवा के स्वरूप पर निर्भर करता है। VPS, रेंटल सर्वर या क्लाउड का इस्तेमाल करने वाली कंपनियों और व्यक्तियों के लिए सिर्फ सेवा के नाम पर भरोसा करना ठीक नहीं होगा। यह देखना समझदारी होगी कि प्रदाता ने प्रभावित सेवाओं की सीमा और उठाए गए कदमों के बारे में क्या बताया है। वर्चुअलाइजेशन की सुरक्षा सिर्फ उपयोगकर्ता की सेटिंग पर नहीं, बल्कि आधारभूत ढांचे का संचालन करने वाले पक्ष की कार्रवाई पर भी निर्भर करती है।