Linuxカーネルに深刻な脆弱性「PwnEscape」──ゲスト仮想マシンからホストメモリの読み取りが可能に

要点

• Linuxカーネルのネットワーク処理に、仮想マシン内からホストのメモリを読み出せる脆弱性「PwnEscape」（CVE-2026-99999）が判明した。

• 深刻度スコアは9.3（Critical）と評価され、悪用には仮想マシン内部でコードを実行できるローカル権限が必要となる。

• Vercelのサンドボックス環境でメモリ漏洩が実証されたほか、実験環境ではホストの強制停止や管理者権限奪取も確認された。

• 主要クラウドで共通利用されるカーネル層の欠陥であり、各安定版ブランチ向けに修正パッチが提供されている。

• Linuxカーネルのネットワーク関連コードにおいて、仮想マシン（ホストOS上で仮想的に動作する独立したOS環境）内部から物理ホストのメモリを不正に読み出せる重大な脆弱性が明らかになった。セキュリティ企業pwn.aiの研究者Paulos Yibelo氏がVercelの検証企画を通じて発見し、2026年10月15日付で公表された。「PwnEscape」（CVE-2026-99999）と命名された本欠陥は、主要クラウドが依存する共通基盤に関わる問題として注目されている。

実証されたメモリ漏洩とラボ環境での制御権奪取

Yibelo氏の技術報告によると、仮想マシン内部から細工したパケットを送信することで「ホストメモリの読み取り」「ホストのクラッシュ」「任意コードの実行」の3つが可能になるという。これらはすべてカーネル内の同一の欠陥に起因している。

Vercelの発表によれば、同社の商用サンドボックス（外部への影響を制限した隔離環境）上でメモリ漏洩が実証され、同社もこれを確認した。パケット1つにつき約32バイトのホストメモリが取得でき、送信を続ける限り継続的に読み取れる状態だった。ただし顧客のファイルや秘密情報などのデータ漏洩は報告されていないという。

一方、ホストのクラッシュや管理者権限の奪取は、同構成を再現した研究者の実験環境でのみ確認された。わずか2個のパケットでホスト全体をクラッシュさせ、稼働中の全サンドボックスを停止できたとされる。Yibelo氏は、これが管理された実験結果であり、いかなる事業者の本番環境でもroot権限でのコマンド実行を達成したわけではないと強調している。

AI推論モデルを活用した脆弱性探索

今回の脆弱性の特定には、AI技術を組み込んだ調査フレームワークが活用された。Yibelo氏によると、自社ツールとSingularityNETの「OmegaClaw」アーキテクチャを統合した社内基盤「Omega-Pwn」上で作業が行われたという。

中核の推論エンジンには「GPT-5.6 Sol」を採用し、長期にわたる調査セッションを通じて仮説やコードトレースを管理した。研究チームが調査全体を指揮してAIモデルの出力を精査し、関心度の高い挙動を自前環境のカーネルで検証する体制がとられたと説明されている。

脆弱性の深刻度と共有インフラへの波及リスク

本脆弱性の深刻度は10点満点中9.3（Critical）と評価された。米国の国家脆弱性データベース（NVD）も登録を受け取っているが、詳細レビューは完了していない。攻撃ベクトルは「ローカル」と定義され、仮想マシン内でコードを実行できる権限が必要なため、インターネット経由で直接外部から攻撃することはできない。また、現実の攻撃で悪用された報告もないという。

Vercel SandboxはAmazon EC2ベアメタル上で軽量仮想マシン「Firecracker」を動かして顧客環境を分離しているが、欠陥はその境界ではなくホスト側カーネルに存在していた。pwn.aiによるとVercel環境に設定の不備は見当たらなかったという。ほぼすべての主要クラウドが同一のカーネル層でテナント分離を行っているため、特定事業者に限らず共有インフラ全体のリスクになると指摘されている。

修正パッチの適用と対応バージョン

修正として、Red HatのMichael S. Tsirkin氏が作成したコミット（commit 6785011f8b16）がメインラインカーネルへ統合された。パケットのチェックサムがIPv4ヘッダー内を指していないか検証する処理が5箇所に追加されている。作者はこの改修を「多層防御の措置」とし、入力経路全体に対する抜本的な検証には引き続き作業が必要だとしている。

保守チームは各安定版ブランチへ修正をバックポート（上位バージョンの修正を過去の安定版へ移植すること）した。CVE情報に基づく各ブランチの最初の修正バージョンは以下の通りである。

安定版ブランチ	修正バージョン
5.10	5.10.272
5.15	5.15.223
6.1	6.1.190
6.6	6.6.159
6.12	6.12.113
6.18	6.18.57
7.2	7.2.11

なお、Linuxディストリビューション各社はバージョン番号を変えずに修正を取り込むことが多いため、利用中のディストリビューションのアドバイザリの確認が推奨される。