Le informazioni sulla vulnerabilità del kernel Linux «PwnEscape» (CVE-2026-99999) sono state rese pubbliche nell’ottobre 2026. Un attaccante che si trova all’interno di una macchina virtuale potrebbe riuscire a eseguire codice non autorizzato sul sistema operativo Linux host. Il livello di gravità è 9,3 su una scala da 1 a 10; la vulnerabilità rientra nella categoria più alta, «Critical».
Una crepa nel «muro» delle macchine virtuali
Le macchine virtuali permettono di creare, su un unico server fisico, numerosi ambienti indipendenti per utenti diversi. Molti VPS, server in hosting e servizi cloud si basano su questa tecnologia. Li usiamo con la tranquillità di sapere che non possiamo vedere né accedere agli ambienti degli utenti vicini.
PwnEscape attacca proprio quel muro. Se è possibile uscire dalla macchina virtuale guest e raggiungere Linux sull’host, potrebbero essere coinvolti anche gli altri utenti che condividono lo stesso server fisico e persino i sistemi del fornitore. È come riuscire a entrare nella sala di controllo di un condominio usando la chiave del proprio appartamento.
Una falla nel controllo dei dati di rete diventa la porta d’ingresso
I dettagli tecnici sono stati pubblicati in un messaggio inviato alla mailing list «Openwall», rivolta agli esperti di sicurezza. La causa è da ricercare nella gestione della rete da parte del kernel Linux: secondo quanto spiegato, i dati relativi al «checksum», usato per verificare che i dati trasmessi non siano danneggiati, potevano essere modificati da un attaccante.
Di norma, una volta verificato, l’header IPv4 — la parte che indica, tra l’altro, la destinazione della comunicazione — viene considerato attendibile e il sistema procede con l’elaborazione. A causa di questa falla, però, era possibile modificare l’header già verificato al posto del checksum. Sfruttando questo punto d’appoggio, si poteva alterare il normale flusso di elaborazione della rete, ottenere la lettura e la scrittura di posizioni di memoria normalmente inaccessibili e, in un ambiente di ricerca, arrivare a eseguire codice sul sistema operativo Linux host.
L’oggetto dell’email è «Guest-to-Host KVM Escape» e fa riferimento a KVM, la tecnologia di virtualizzazione di Linux. Tuttavia, poiché la causa risiede nella gestione della rete, una componente fondamentale del kernel, si ritiene che l’attacco possa riuscire anche in ambienti diversi da KVM, per esempio nei container.
Le prove finora condotte e gli attacchi che potrebbero arrivare
Per il momento è stata dimostrata la possibilità di sfruttare la vulnerabilità soltanto in un ambiente di ricerca. Non si parla di attacchi già diffusi nella pratica.
Nell’email si ipotizza che il settore della sicurezza userà queste informazioni come punto di partenza per valutare l’impatto su altri hypervisor, cioè i software di base che eseguono le macchine virtuali. Si prevede inoltre che entro poche settimane compariranno codici d’attacco rivolti a configurazioni poco protette e che, entro un mese, ne arriveranno altri in grado di funzionare sugli hypervisor con la configurazione predefinita.
Non si tratta di fatti accertati, ma di previsioni. Tuttavia, ora che sono stati resi pubblici indizi tecnici utili, è prudente agire considerando che il tempo a disposizione potrebbe essere poco.
Gli utenti devono verificare come si muovono i fornitori
A dover intervenire con particolare urgenza sono i fornitori che offrono macchine virtuali Linux come servizio. Un utente malintenzionato potrebbe uscire dalla propria macchina virtuale e attaccare gli altri utenti o i sistemi del fornitore.
Nel pomeriggio del 17 ottobre 2026, Sakura Internet ha annunciato in Giappone la sospensione delle nuove iscrizioni ad alcuni servizi, tra cui «Sakura VPS» e «Sakura Rental Server», e l’avvio di misure correttive. AWS afferma che i suoi servizi gestiti di calcolo e container, come Amazon EC2, AWS Lambda e AWS Fargate, non sono interessati e che gli utenti non devono intervenire.
Anche quando si parla di «macchine virtuali Linux», l’impatto varia a seconda del fornitore e della modalità di erogazione del servizio. Aziende e privati che usano VPS, server in hosting o servizi cloud farebbero bene a non fidarsi del solo nome del servizio e a verificare quali siano l’ambito interessato e lo stato degli interventi comunicati dal fornitore. La sicurezza della virtualizzazione dipende non solo dalle impostazioni degli utenti, ma anche da chi gestisce l’infrastruttura.
コメント