CVE-2026-99999 — PwnEscape: 検出と緩和

Linuxサーバーが CVE-2026-99999（「PwnEscape」） に晒されているかどうかを確認し、その緩和策を知るためのスペイン語による実践ガイド。マシンを検査し、判定理由とともに結論を出すスクリプトを含む。

📋 概要

項目	値
CVE	CVE-2026-99999
名称	PwnEscape
コンポーネント	Linuxカーネル、IPv4チェックサム処理（`skb_checksum_help()`）
深刻度	CVSS 3.1 9.3（緊急） — `AV:L/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H`
影響	悪意あるVMがホストのメモリを読み取り、ホストを停止させ、実験環境ではroot権限で制御を奪うことが可能
ベクター	ローカル：攻撃者はVM内部でコードを実行する必要がある
発見者	Paulos Yibelo（pwn.ai）、VercelのSandbox Challengeにて
公開日	2026年10月15日
上流の修正	コミット `6785011f8b16`（Michael S. Tsirkin、Red Hat）
活発な悪用	報告なし · CISAのKEVカタログには未登録

🧠 これは何か？（わかりやすい説明）

マンションを想像してほしい：

建物は物理サーバー、つまりホスト。
各部屋は仮想マシン（VM）。
PwnEscapeは建物の壁の欠陥：ある部屋から、悪意ある入居者が建物の管理部門を覗き見たり、侵入したりできる。

┌──────────────────────────────────────┐
│  HOST (servidor físico + hipervisor) │  ← aquí está la falla
│  Linux con KVM / QEMU / Firecracker  │
│                                      │
│   ┌─────────┐ ┌─────────┐ ┌────────┐ │
│   │  VM  A  │ │  VM  B  │ │  VM  C │ │
│   │         │ │(atacante)│ │        │ │
│   └─────────┘ └─────────┘ └────────┘ │
└──────────────────────────────────────┘

脆弱性はホストにあり、VMにはありません。そのため：

✅ サーバーがVPSやVMの場合（DigitalOcean、AWS、Hetzner、Proxmoxなど）、あなたは標的ではありません。パッチを適用すべきはプロバイダーまたはホストを管理する人です。
⚠️ サーバーがVMをホストしている場合（Proxmox、KVM/libvirt、OpenStack、Firecracker）、あなたは標的です。特に第三者のVMや信頼できないコードを実行している場合はなおさらです。

🔬 仕組みは？（技術レベル）

Linuxでは、ネットワークパケットにチェックサムがどこから始まり、その結果がどこに書き込まれるかを示すメタデータを付けることができます。これはchecksum offloadingのための正当な最適化です。

問題は操作の順序にあります：

カーネルはVMから通常のIPv4ヘッダー（IHL = 20バイト）を持つパケットを受信し、それを検証します。
その後、VMが送ったメタデータによって制御される遅延チェックサム操作が、検証済みのその同じヘッダーを書き換え、IHL = 60バイトに変更します。
フラグメンテーションのロジックは新しい値を信頼し、パケットが実際に持っているより多くのデータをコピーします。
その余分なバイトはホストのメモリ（テストではパケットあたり32バイト）であり、攻撃は繰り返し可能です。

修正は、チェックサムの開始位置がすでに処理済みのIPv4ヘッダー内を指せないことを検証します。影響を受ける5つのネットワーク経路に適用されます。

脆弱なコードはカーネル2.6.27（2008年）から存在します。

📦 修正済みバージョン

ブランチ	最初の修正済みバージョン
5.10	5.10.272
5.15	5.15.223
6.1	6.1.190
6.6	6.6.159
6.12	6.12.113
6.18	6.18.57
7.2	7.2.11
Mainline	7.3-rc7

⚠️ Ubuntu、RHEL/Rocky/Alma、SUSE、Proxmoxは独自の番号付けを使用しています（例：5.15.0-125-genericや5.14.0-503.el9）。これらのディストリビューションではバージョン番号だけでは何もわかりません。ディストリビューションのセキュリティ勧告やカーネルのchangelogを確認する必要があります。

このリストにないブランチ（6.8、6.19、7.0、7.1…）はすでにアップストリームのサポートがなく、修正は提供されていません。

🔍 影響を受けていますか？

オプションA — 自動スクリプト（推奨）

curl -O https://raw.githubusercontent.com/alvaroguzmancode/CVE-2026-99999/refs/heads/main/check-pwnescape.sh
sudo bash check-pwnescape.sh

スクリプトは次の3点を確認します：

マシンの役割： VMかどうか、VMをホストしているか、またはホスト可能だが現在はホストしていないか。
パッチ： カーネルのchangelogでCVEを検索し、修正済みバージョンと比較します。
保留中の再起動： 新しいカーネルがインストールされているが、まだ有効になっていないかどうか。

VPSでの出力例：

== VEREDICTO ==
  Rol:    Este equipo ES una máquina virtual; no hospeda otras VMs.
  Kernel: VULNERABLE — la versión del kernel es anterior a la corregida.

  NO EXPUESTO DIRECTAMENTE.
  La falla solo se explota desde una VM hacia el servidor que la hospeda.
  Este equipo no hospeda VMs, así que no hay a quién atacar desde aquí.

  Ojo: el que SÍ debe estar parchado es el host que aloja esta VM
  (tu proveedor de nube o tu servidor Proxmox/KVM). Confírmalo con ellos.

終了コード	意味
`0`	脆弱ではない、または露出していない
`1`	脆弱
`2`	確認できなかった、手動で確認する必要がある

オプションB — 手動レビュー

1. 自分はVMか、それともホストか？

systemd-detect-virt                     # "kvm", "xen", etc. = eres una VM; "none" = físico
pgrep -a qemu-ga                        # si aparece, eres una VM (QEMU Guest Agent)
lsmod | grep -E 'kvm|vhost'             # módulos de virtualización cargados
cat /sys/module/kvm_intel/refcnt 2>/dev/null || cat /sys/module/kvm_amd/refcnt   # >0 = hay VMs usando KVM
virsh list --all 2>/dev/null            # VMs de libvirt
pgrep -a '^(qemu-system|firecracker)'   # VMs / microVMs corriendo

2. 自分のカーネルにパッチは適用されているか?

uname -r

# Debian / Ubuntu
zgrep -i "CVE-2026-99999" /usr/share/doc/linux-image-$(uname -r)/changelog.Debian.gz

# RHEL / Rocky / Alma / Fedora
rpm -q --changelog kernel-core-$(uname -r) | grep -i "CVE-2026-99999"

3. 再起動が必要ですか？

[ -f /var/run/reboot-required ] && echo "Falta reiniciar"   # Debian / Ubuntu
needs-restarting -r                                          # RHEL

🛡️ 緩和策

1. ホストのカーネルを更新する（根本的な解決策）

# Debian / Ubuntu / Proxmox
sudo apt update && sudo apt full-upgrade

# RHEL / Rocky / Alma / Fedora
sudo dnf update kernel

カーネルのメンテナーは、個別のコミットを適用するのではなく、ディストリビューションの完全な安定版をインストールすることを推奨しています。

2. 再起動と確認

sudo reboot
# después:
uname -r
sudo bash check-pwnescape.sh

パッケージのインストールだけでは不十分です。新しいカーネルは再起動後にのみ有効になります。クラスターでは、各ハイパーバイザーを確認してください。

3. VMのみにパッチを適用しても意味がない

VMの内部でカーネルを更新してもリスクは排除されません。脆弱性はホスト側にあるためです。VPSの顧客である場合は、プロバイダーがホストにパッチを適用済みであることを確認してください。

4. 使用していない場合はKVMを無効化する

マシンにKVMがロードされているがVMをホストしていない場合、攻撃対象領域を減らすことができます:

sudo modprobe -r kvm_intel kvm_amd kvm 2>/dev/null
echo -e "blacklist kvm_intel\nblacklist kvm_amd\nblacklist kvm" | sudo tee /etc/modprobe.d/no-kvm.conf

5. 多層防御（パッチ適用中）

これらの対策は脆弱性を修正するものではありませんが、VMから脱出した攻撃者が達成できることを制限します：

必要ない場合はネストされた仮想化を無効化する。
Firecrackerではjailerを使用するか、同等のサンドボックス化（seccomp、cgroups、namespaces）を行う。
各VMプロセスをホスト上で可能な限り最小限の権限で実行する。
信頼できないコードを実行するホストでのパッチ適用を優先する：CI/CD、サンドボックス、顧客のVM、AIエージェントなど。

🚨 エクスプロイトの検出

既知の活発なキャンペーンがないため、公開されたIOC（ハッシュ、ドメイン、IP）はありません。検出はホスト上の振る舞いベースで行います：

# Caídas u "oops" del kernel en los últimos 30 días
journalctl -k --since "-30d" | grep -iE "panic|oops|BUG:|general protection|skb"

警告サイン:

VMのネットワークトラフィックに関連するホストのクラッシュ。
まれなIPv4フラグメンテーションイベント。
VMプロセス(QEMU/Firecracker)が予期しない動作をしている。

エスケープを疑う場合は、VMだけでなくホスト全体が侵害されたものとして扱ってください。メモリとログを保全し、同じホスト上の他のVMを確認し、認証情報をローテーションしてください。

💬 お客様への説明方法

お客様のサーバーを脆弱性CVE-2026-99999(「PwnEscape」)に対して検査しました。この脆弱性は、仮想マシンをホストする物理サーバーに影響します。悪意のある仮想マシンが、それをホストするサーバーを攻撃できるようになります。

お客様のサーバーはプロバイダーがホストする仮想マシンであり、他の仮想マシンをホストしていないため、直接的な影響は受けません。修正はインフラストラクチャプロバイダーの責任であり、プロバイダーが物理サーバーを更新する必要があります。

予防措置として、プロバイダーがすでにパッチを適用済みであることを確認し、次回のメンテナンスウィンドウでサーバーのカーネルを更新します。現時点で、この脆弱性が実際に悪用されているという報告はありません。

📁 ファイル

ファイル	説明
`README.md`	本ガイド
`check-pwnescape.sh`	検出スクリプト(Bash、依存関係なし)

📚 参考資料

作者: Álvaro Guzmán · 2026年10月19日時点の情報です。

CVE-2026-99999

人気