最近披露的一个关键漏洞在 Linux 内核中，允许虚拟机内部的代码读取其运行的主机计算机的内存。一位研究人员在 Vercel 的实时云沙箱中演示了这一漏洞，Vercel 也对此进行了确认。
该漏洞目前被追踪为 CVE-2026-99999，并被称为 PwnEscape，存在于 Linux 内核的网络代码中，而不是任何一个云的设置中，因此它达到了云服务提供商用来隔离客户工作负载的共享层。
该漏洞是在 Vercel 的安全挑战中发现的，并在任何公开发布之前进行了私下报告，目前没有迹象表明它已被用于真实攻击。
研究人员展示的内容
安全公司 pwn.ai 的 Paulos Yibelo 发现，从虚拟机内部发送的特制网络数据包可以做三件事，他在一篇技术报告中解释道：读取主机的内存、崩溃主机以及在主机上运行代码。这三者都源于同一个内核漏洞。
Vercel 在其挑战报告中表示，内存泄漏是在其生产沙箱中演示的。每个来宾发送的数据包可以携带大约 32 字节的主机内存，只要来宾持续发送数据包，就可以不断进行。
崩溃和代码执行仅在研究人员自己的机器上观察到，这些机器的设置与 Vercel 的相匹配。两个特制的数据包就足以使主机崩溃，并关闭其上运行的所有沙箱。
利用同样的漏洞，研究人员随后获得了主机的管理员控制权，从虚拟机中突破了限制。他强调这只是实验室结果，“并不是在任何供应商的生产环境中执行 root 命令的声明。”
“我们的研究通过 Omega-Pwn 进行，这是一个内部工具，将我们自己的安全研究工具与 SingularityNET 的 OmegaClaw 架构的元素结合在一起。它让我们能够在长期的研究会话中携带假设、代码跟踪、失败尝试和实验结果。GPT-5.6 Sol 是主要的推理引擎。我们指导调查，挑战其发现，并将有趣的结果与我们控制的系统上的实际内核行为进行验证，”Paulos Yibelo 告诉 The Hacker News。
Vercel 表示，在挑战中没有报告显示任何人读取客户的文件、秘密或应用数据。
漏洞的严重性及其引发条件
内核维护者将该漏洞分配为 CVE-2026-99999，并在发布的记录中将其评级为 9.3（满分 10），即关键。美国国家漏洞数据库已收到该条目，但尚未完成自己的审查。
同一记录将攻击向量列为本地。简单来说，攻击者必须已经在来宾内部运行代码，就像研究人员一样。这不是一个外部人员可以通过在开放互联网中发送数据包来利用的漏洞。
它不在 CISA 的主动利用漏洞目录中，且没有报告任何真实世界的使用情况。
为什么它影响 Vercel 之外的其他地方
Vercel 沙箱在其自己的 Firecracker microVM 中运行每个客户的代码，这是一个具有自己 Linux 内核副本的小型虚拟机，运行在裸金属的 Amazon EC2 主机上。这个 microVM 是一个客户与主机之间、一个客户与另一个客户之间的隔离墙。
该漏洞不在这道墙上。它存在于主机运行的 Linux 内核的网络代码中。pwn.ai 表示，Vercel 的沙箱已经超出了正常行业标准的加固，未发现任何错误配置。
由于几乎每个大型云服务提供商在同一层的 Linux 内核上隔离客户工作负载，Vercel 表示，该漏洞在此处对共享基础设施构成风险，而不是对任何一个提供商。
修复方案及修复版本
修复方案是一个单一的 Linux 内核更改，提交 ID 为 6785011f8b16，由 Red Hat 的 Michael S. Tsirkin 编写并合并到主线内核中。它增加了一个检查，确保数据包的校验和数据在内核处理之前不能指向 IPv4 头，并在网络代码的五个地方应用了该检查。
该更改是故意部分的。其作者称之为“深度防御措施”，并指出对数据包进入内核的方式进行更全面的检查仍需工作。
维护者已将修复程序回移植到稳定内核分支。根据 CVE 记录，以下是每个受支持分支的首个修复版本：
稳定分支
首个修复版本
5.10
5.10.272
5.15
5.15.223
6.1
6.1.190
6.6
6.6.159
6.12
6.12.113
6.18
6.18.57
7.2
7.2.11
Linux 发行版会发布自己的内核，并且通常在不更改版本号的情况下添加此类修复，因此请检查您的发行版的建议以及修复是否在主机实际运行的内核中，而不仅仅是 uname 中的数字。
该怎么做
将主机内核更新为上述修复版本之一，或更新为包含修复的供应商构建，并重新启动。仅更新来宾的内核并不能修复主机。如果您暂时无法更新，源代码没有提供此漏洞的单独解决方法。
在修补必须等待的情况下，通常的步骤是限制入侵者可能达到的范围。Vercel 表示，它保持主机内核的最新状态，禁用嵌套虚拟化，并在 Firecracker 的监狱管理器下运行每个 microVM，该监狱管理器仅授予 microVM 进程所需的权限。这并不能修复漏洞，但它缩小了利用该漏洞的攻击者可能做的事情。
在 100 万美元的挑战中发现
该漏洞是在 Vercel 于 8 月进行的为期两周的挑战中发现的，该挑战向任何能够突破其沙箱的人提供高达 100 万美元的奖金。没有任何单一的支付达到了这一数字。每个报告的最高奖励为 50,000 美元；Vercel 在 1,285 份报告中支付了 242,000 美元，而该漏洞是唯一的关键发现。
pwn.ai 表示，它在三天内使用自己的 AI 辅助研究系统发现了该漏洞，模型进行源代码分析，人类研究人员指导工作。该公司的成本不到 700 美元的 API 代币。这是研究人员使用大型语言模型帮助发现和链式真实漏洞的最新案例，此前一个独立团队在今年早些时候使用过。