Een recent openbaar gemaakte kritieke kwetsbaarheid in de Linux-kernel maakt het mogelijk dat code binnen een virtuele machine het geheugen kan uitlezen van de host waarop die draait. Een onderzoeker demonstreerde het lek tegen Vercel’s live cloud-sandboxes, en Vercel bevestigde de bevinding.
De kwetsbaarheid, nu geregistreerd als CVE-2026-99999 en bijgenaamd PwnEscape, zit in de netwerkcode van de Linux-kernel, niet in de configuratie van één specifieke cloudprovider, en raakt daarmee de gedeelde laag die cloudproviders gebruiken om workloads van klanten van elkaar te scheiden.
De fout werd ontdekt tijdens een Vercel-beveiligingschallenge en privé gerapporteerd voordat er iets publiekelijk werd vrijgegeven. Er zijn geen aanwijzingen dat de kwetsbaarheid in echte aanvallen is misbruikt.
Wat de onderzoeker aantoonde
Paulos Yibelo van het beveiligingsbedrijf pwn.ai ontdekte dat speciaal vervaardigde netwerkpakketten die vanuit een virtuele machine werden verstuurd drie dingen konden doen, legt hij uit in een technische uiteenzetting: het geheugen van de host uitlezen, de host laten crashen en code op de host uitvoeren. Alle drie volgen uit dezelfde kernel-kwetsbaarheid.
Vercel gaf in zijn rapport over de challenge aan dat het geheugenlek werd gedemonstreerd tegen zijn productie-sandboxes. Elk pakket dat de gast verstuurde kon ongeveer 32 bytes van het geheugen van de host terugsturen, en de gast kon doorgaan zolang hij pakketten bleef verzenden.
De crash en code-uitvoering werden alleen waargenomen op de machines van de onderzoeker zelf, die waren ingericht om Vercel’s omgeving na te bootsen. Twee speciaal geconstrueerde pakketten waren genoeg om een host te laten crashen en alle sandboxes die daarop draaiden neer te halen.
Met dezelfde kwetsbaarheid wist de onderzoeker daarna administratieve controle over een host te krijgen en uit de virtuele machine te ontsnappen. Hij benadrukte dat dit een labresultaat was, “not a claim of root command execution in any vendor’s production environment.”
“Our research ran through Omega-Pwn, an internal harness combining our own security research tooling with elements of SingularityNET’s OmegaClaw architecture. It let us carry hypotheses, code traces, failed attempts, and experimental results across long-running research sessions. GPT-5.6 Sol was the primary reasoning engine. We directed the investigation, challenged its findings, and validated the interesting ones against actual kernel behavior on systems we controlled,” Paulos Yibelo told The Hacker News.
Vercel zei dat geen enkel rapport in de challenge toonde dat iemand klantbestanden, geheimen of applicatiegegevens las.
Hoe ernstig het is, en wie het kan triggeren
De kernel-beheerders hebben de kwetsbaarheid toegewezen gekregen als CVE-2026-99999 en in het gepubliceerde record met een score van 9,3 uit 10 beoordeeld, oftewel Critical. De Amerikaanse National Vulnerability Database had die invoer ontvangen maar had de eigen beoordeling nog niet afgerond.
Hetzelfde record geeft de aanvectormethode aan als lokaal. In gewone mensentaal betekent dit dat een aanvaller al code moet draaien binnen een gastomgeving, zoals de onderzoeker dat deed. Dit is geen fout die een buitenstaander kan uitbuiten door pakketten over het open internet te sturen.
De kwetsbaarheid staat niet in de catalogus van CISA met actief misbruik, en er is geen melding van echt-wereldgebruik.
Waarom het verder reikt dan Vercel
Vercel Sandbox draait elke klantcode in zijn eigen Firecracker-microVM, een kleine virtuele machine met een eigen kopie van de Linux-kernel, op bare-metal Amazon EC2-hosts. Die microVM is de muur tussen één klant en de host, en tussen verschillende klanten.
De kwetsbaarheid zit niet in die muur. Ze bevindt zich in de netwerkcode van de Linux-kernel, die door de host wordt uitgevoerd. pwn.ai zei dat Vercel’s sandbox al verder was gehard dan de gebruikelijke industriestandaarden en dat er geen misconfiguratie gevonden kon worden.
Aangezien vrijwel elke grote cloud klantworkloads op dezelfde laag van de Linux-kernel scheidt, zei Vercel dat een fout daar een risico vormt voor gedeelde infrastructuur in het algemeen, en niet alleen voor één aanbieder.
De oplossing en de versies waarin het is gerepareerd
De oplossing is één wijziging in de Linux-kernel, commit 6785011f8b16, geschreven door Michael S. Tsirkin van Red Hat en samengevoegd in de mainline-kernel. De wijziging voegt een controle toe dat de checksum-gegevens van een pakket niet naar binnen het IPv4-headergebied mogen wijzen voordat de kernel er iets mee doet, en past die controle op vijf plaatsen in de netwerkcode toe.
De verandering is opzettelijk gedeeltelijk. De auteur noemt het “a defence in depth measure” en merkt op dat een vollediger controle op het moment dat pakketten de kernel binnenkomen nog werk vereist.
De beheerders hebben de reparatie teruggeport naar de stabiele kernel-takken. Volgens het CVE-record zijn dit de eerste gefixtte versies in elke ondersteunde branch:
| Stabiele branch | Eerste gefixeerde versie |
|---|---|
| 5.10 | 5.10.272 |
| 5.15 | 5.15.223 |
| 6.1 | 6.1.190 |
| 6.6 | 6.6.159 |
| 6.12 | 6.12.113 |
| 6.18 | 6.18.57 |
| 7.2 | 7.2.11 |
Linux-distributies leveren hun eigen kernels en voegen dit soort fixes vaak toe zonder het versienummer te wijzigen. Controleer daarom het advies van uw distributie en of de fix in de kernel zit die de host daadwerkelijk draait, en niet alleen in het versienummer dat uname toont.
Wat te doen
Werk de hostkernel bij naar een van de hierboven genoemde gefixeerde versies, of naar de vendor-build die de fix bevat, en herstart naar die kernel. Alleen het bijwerken van een guestkernel verhelpt de kwetsbaarheid niet voor de host. De bronnen geven geen aparte workaround voor deze fout als u nog niet kunt updaten.
Als patchen moet wachten, is de gebruikelijke stap om te beperken wat een inbraak zou kunnen bereiken. Vercel zei dat het host-kernels up-to-date houdt, geneste virtualisatie uitschakelt en elke microVM onder Firecracker’s jailer laat draaien, waarmee het microVM-proces alleen de permissies krijgt die het nodig heeft. Dat verhelpt de kwetsbaarheid niet, maar beperkt wat een aanvaller die haar misbruikt zou kunnen doen.
Gevonden in een challenge met $1 miljoen
De kwetsbaarheid werd gevonden tijdens een tweeweekse challenge die Vercel in augustus hield en die in totaal tot $1 miljoen bood aan iedereen die uit de sandbox kon ontsnappen. Geen enkele enkele uitbetaling bereikte dat totale bedrag. De hoogste beloning per rapport was $50.000; Vercel betaalde in totaal $242.000 over 1.285 rapporten uit, en deze fout was de ene Critical bevinding.
pwn.ai zei dat het de fout in drie dagen vond met behulp van zijn eigen AI-ondersteunde onderzoekssysteem, waarbij het model de broncodeanalyse deed en menselijke onderzoekers het werk aanstuurden. Het bedrijf schatte de kosten op minder dan $700 aan API-tokens. Het is het nieuwste voorbeeld van onderzoekers die een groot taalmodel gebruiken om echte kwetsbaarheden te vinden en aan elkaar te koppelen, nadat een andere groep eerder dit jaar een model gebruikte om interne systemen bij OpenAI te bereiken.
