CVE-2026-93834 — Sitio de seguimiento del escape de invitado en QEMU 9pfs

Fuente del rastreador de estado de parches de CVE-2026-93834: un sitio de una sola página que registra qué ramas estables de QEMU y qué distribuciones han publicado una corrección para el escape de invitado a anfitrión por use-after-free en QEMU 9pfs.

Dónde residen los datos

Todo lo relacionado con el fallo — versiones afectadas y corregidas, el commit de corrección upstream y sus backports estables, crédito de descubrimiento y divulgación, y el estado actual de parches por distribución — pertenece a la página del rastreador, no a este README:

• Renderizado: https://kimmo.cloud/CVE-2026-93834/
• Fuente: site/content/_index.md

Edita ese archivo; todo lo demás en este repositorio es infraestructura de compilación.

Nada de ello se repite aquí a propósito. La página del rastreador se revisa a medida que las distribuciones publican correcciones — para los rastreadores actualizados activamente, dos veces al día por el agente de actualización automática — por lo que cualquier copia mantenida en este README se deterioraría silenciosamente. Resiste la tentación de volver a añadir un resumen.

El plan de despliegue y el estado actual de la configuración residen en WEBSITE.md.

Desarrollo local

Requiere Hugo ≥ 0.146.0 (la edición estándar es suficiente: no se usa Sass ni procesamiento de imágenes en este sitio) y Go (para que Hugo Modules obtenga el tema PaperMod).

Con Nix (recomendado)

nix develop          # dev shell: hugo, go, resvg + fonts, and every lookup tool
cd site
hugo server          # local preview at http://localhost:1313/CVE-2026-93834/

Si usas direnv, ejecuta direnv allow una vez y el dev shell se activará automáticamente cada vez que hagas cd al repositorio.

Sin Nix

Instala Hugo ≥ 0.146.0 y Go ≥ 1.24 por tu cuenta (CLAUDE.md § "Build environment" tiene la receta de go install), luego:

cd site
hugo server          # http://localhost:1313/CVE-2026-93834/

Compilar y publicar

make build       # local build into site/public/
make dist        # build, then rsync to haig:/CVE-2026-93834/
make banner      # re-rasterise the social banner SVG → PNG (needs resvg + the banner fonts)
make check       # run the helper-script tests

make dist ejecuta make build primero. make banner solo es necesario tras editar site/assets/cve-2026-93834-tracker.svg; el PNG renderizado está incluido en el repositorio.

Fechar una corrección

La columna Fixed since de una fila es la fecha en que la corrección se publicó realmente, derivada de la fuente que la publicó — nunca el día en que se detectó. Para los canales de NixOS y nixpkgs esa derivación es un script:

./scripts/nixos-first-shipped nixos-unstable <nixpkgs-commit>

Enumera las versiones publicadas del canal, encuentra la más temprana construida a partir de una revisión que contenga el commit, e imprime esa versión y su fecha de publicación. Las fechas de upstream QEMU provienen de las etiquetas de las versiones estables, las de Debian del changelog o de snapshot.debian.org, las de pkgsrc del historial git del paquete, las de Proxmox del changelog de pve-qemu-kvm, y las de Rocky del listado de subidas del mirror — CLAUDE.md contiene las recetas.

Los otros tres helpers leen el estado actual del security tracker y de los clones locales:

./scripts/debian-versions

./scripts/nixpkgs-versions

./scripts/pkgsrc-versions

Cada uno imprime una línea por fila rastreada — la versión, y si un changelog o parche nombra el CVE rastreado (listado en scripts/tracked-ids).

Estructura del repositorio

.
├── flake.nix              # Nix dev environment (build, banner, publish, lookup tools)
├── .envrc                 # direnv hook → `use flake`
├── .gitignore
├── Makefile               # `make build`, `make dist`, `make banner`, `make check`
├── LICENSE                # CC BY 4.0
├── README.md              # this file
├── CLAUDE.md              # project instructions for Claude Code
├── WEBSITE.md             # publication plan / decisions log
├── scripts/               # auto-update driver + prompt, and the lookup helpers
├── systemd/               # user-level service unit, run by the sweep
├── tests/                 # tests for the lookup helpers
└── site/                  # Hugo project
    ├── hugo.toml
    ├── content/
    │   └── _index.md      # the tracker (single page)
    ├── assets/css/extended/custom.css      # PaperMod CSS overrides
    ├── assets/cve-2026-93834-tracker.svg   # social-banner source (→ make banner)
    ├── static/cve-2026-93834-tracker.png   # rendered OpenGraph banner (committed)
    ├── layouts/partials/  # PaperMod overrides (post_meta, extend_footer)
    ├── layouts/shortcodes/details.html     # collapsible verification log
    ├── go.mod, go.sum     # Hugo Modules — pulls PaperMod theme
    └── …                  # standard Hugo skeleton

Licencia

CC BY 4.0 — comparte y adapta con atribución.