// シス担のミカタ

セキュリティニュース

緊急 Linux

Linuxカーネルの脆弱性「PwnEscape」（CVE-2026-99999）— 仮想マシンの中から土台のサーバーをのぞける

ひとことで言うと

  • Linux カーネルのネットワーク処理に、仮想マシン（VM）の中から、その土台の物理サーバー（ホスト）のメモリを読める欠陥が見つかりました。深刻度は CVSS 9.3（緊急）。
  • 影響を受けるのは主に自社で仮想化基盤を動かしている会社と、クラウド・VPS の事業者です。
  • 直すにはホスト側のカーネルを更新して再起動します。VM の中（ゲスト）だけ更新しても直りません。

何が起きたのか

10月15日、Linux カーネルの脆弱性「PwnEscape」（CVE-2026-99999）が公表されました。見つけたのはセキュリティ研究者の Paulos Yibelo 氏（pwn.ai）で、Vercel 社が8月に開いたバグ探しのコンテストで報告されたものです。

問題があるのは、カーネルがネットワークのパケットを処理する部分です。VM の中から細工したパケットを送ると、ホストのカーネルがそれを正しく確かめないまま処理してしまい、次のようなことが起きます。

  • ホストのメモリが少しずつ読み出される（1パケットあたり数十バイト。送り続ければ読み続けられる）
  • パケット2つでホストが止まる（同じホストに乗っている VM がすべて止まる）
  • 研究者の実験環境では、ホストの管理者権限を取って VM の外に出るところまで確認された

Vercel の本番環境でメモリの読み出しができることは同社も認めています。ただし、顧客のファイルや秘密情報が読まれたという報告はなく、実際の攻撃に使われた形跡も今のところありません。

「VM の外に出られる」って、どういうことなんですか……？

壁があるから安心？　油断大敵！

クラウドやVPSは、1台の大きな物理サーバーの上に、たくさんの会社の VM を並べて動かしている。VM どうしは壁で仕切られていて、お互いが見えない。それが大前提だ！

今回の欠陥は、その壁の土台に穴があいていたようなもの。自分の VM の中から、土台のサーバーや、同じサーバーに乗っている他の VM の情報に手が届いてしまうおそれがある。「仕切ってあるから大丈夫」は、今日で卒業だ！

うちは関係ある？

インターネットから直接パケットを送って攻撃できるものではありません。攻撃するには、まずどこかの VM の中でプログラムを動かせる必要があります。なので、影響の大きさは立場によって変わります。

立場影響やること
自社で仮想化基盤（Linux のホストの上に VM を並べる構成）を運用している大きいホストのカーネルを更新して再起動
クラウド・VPS（IaaS）を借りている事業者側の対応待ち事業者のお知らせを確認する
他人のコードを VM で動かすサービスを提供している（サンドボックス・CI など）とても大きい最優先でホストを更新
レンタルサーバー・SaaS を使っているだけ小さい事業者が対応する範囲

特に危ないのは「知らない人のプログラムを VM で動かす」使い方です。攻撃の前提（VM の中でコードを動かせる）を、最初から満たしてしまうからです。

やること

1. ホストのカーネルを更新して再起動する

修正は Linux 本体に取り込まれ、各系列の安定版に入っています。最初に直った版は次のとおりです。

系列修正済みの版
5.105.10.272 以降
5.155.15.223 以降
6.16.1.190 以降
6.66.6.159 以降
6.126.12.113 以降
6.186.18.57 以降
7.27.2.11 以降

ただし、Ubuntu や Red Hat 系などのディストリビューションは自前のカーネルを配っていて、修正を取り込んでも版番号が上の表のとおりにならないことがよくあります。uname -r の数字だけで判断せず、使っているディストリビューションのセキュリティ情報で、この CVE 番号が直った版を確認してください。

カーネルは更新しただけでは入れ替わりません。再起動まで済ませて完了です。

2. ゲストだけ直して安心しない

VM の中の OS を更新しても、この穴はふさがりません。直すべきは土台のホスト側です。

3. 借りている側は、事業者のお知らせを確認する

クラウドや VPS を借りているだけなら、ホストの更新は事業者の仕事です。ただ、ホストの再起動にあわせてVM が止まる・移動されることがあるので、メンテナンスの予定は確認しておきましょう。

保守をお願いしている会社には、なんて聞けばいいですか？

聞くのはタダだ！　今日のうちに聞け！

「Linux カーネルの脆弱性 CVE-2026-99999（PwnEscape）について、弊社のシステムで仮想化のホストとして使っているサーバーは対象になりますか。対象の場合、カーネル更新と再起動の予定を教えてください。」

CVE 番号を必ず添えろ！　相手がすぐ調べられる。「なんか危ないらしいです」では、誰も動けないぞ！

まとめ

  • 「VM どうしは隔離されている」という前提がくずれる、仮想化を使う会社には重い脆弱性
  • インターネットから直接ねらわれるものではないが、VM の中でコードを動かせる人がいれば成立する
  • 対策はホストのカーネル更新と再起動。版番号ではなく、ディストリビューションの情報で確かめる

出典

← セキュリティニュースの一覧へ