CVE-2026-99999, chiamata PwnEscape dal ricercatore Paulos Yibelo, è una vulnerabilità nel percorso di rete IPv4 del kernel Linux. Un guest può raggiungere quel percorso tramite configurazioni di virtualizzazione come KVM con virtio-net/TAP: il difetto è nel kernel host, non nel codice di KVM. Yibelo descrive la vulnerabilità e i suoi test.
La distinzione conta perché aggiornare il sistema guest non corregge il kernel host vulnerabile. Il problema riguarda metadati usati per completare in differita il checksum di un pacchetto, cioè il valore impiegato per verificarne l’integrità.
Come i metadati del checksum possono esporre memoria
Nel caso di ricerca descritto da Yibelo, una scrittura differita del checksum modificò l’interpretazione dell’header IPv4: la sua lunghezza risultò di 60 byte anziché 20. La parte di dati lineari logici del pacchetto era di 28 byte; durante la frammentazione furono copiati altri 32 byte, con una divulgazione di memoria dell’host. La ricostruzione tecnica di Yibelo lega questo risultato a quella specifica geometria del pacchetto, non a un esito identico per ogni host o pacchetto.
Yibelo riferisce una divulgazione ripetibile di 32 byte per caso attivo. Descrive separatamente scritture selezionate da 64 byte e una catena che eseguiva un helper con privilegi di root dopo quattro avvii a freddo. Questi ultimi risultati provenivano da un ambiente KVM di sua proprietà: la catena root non era una dimostrazione su un host di produzione di un provider.
Che cosa cambia la correzione del kernel
La correzione upstream aggiunge ip_check_csum_start(), un controllo che rifiuta posizioni di inizio del checksum interne all’header IPv4. Il kernel esegue il controllo prima del completamento del checksum in cinque punti di consumo. Il commit del kernel Linux mostra le verifiche e i punti interessati. Yibelo descrive la modifica come una misura di difesa in profondità, non come una riprogettazione completa della validazione dei pacchetti.
Per le linee stable upstream, The Hacker News indica come corrette le versioni 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.57 e 7.2.11. Le distribuzioni possono integrare la correzione con versioni di pacchetto differenti, quindi quei numeri non identificano da soli lo stato di un pacchetto fornito da un distributore.
Perché circolano due punteggi CVSS
Le valutazioni CVSS 3.1 riportate per CVE-2026-99999 sono diverse: cve.org assegna 9,3, classificato Critico, mentre Red Hat assegna 8,8, classificato Importante, alla propria valutazione di prodotto. Red Hat collega la differenza alla metrica dei privilegi richiesti: PR:N per il punteggio cve.org e PR:L per quello di Red Hat. L’avviso di Red Hat riporta entrambi i valori e le rispettive metriche.
| Valutazione | CVSS 3.1 | Privilegi richiesti | Ambito |
| cve.org | 9,3, Critico | PR:N | Valutazione riportata per la CVE |
| Red Hat | 8,8, Importante | PR:L | Valutazione specifica dei prodotti Red Hat |
L’ambito indicato da AWS
Nel bollettino del 15 ottobre 2026, AWS distingue i propri servizi gestiti dagli host KVM/virtio-net amministrati dai clienti. Il bollettino AWS dichiara non interessati EC2, Lambda e Fargate gestiti da AWS; per gli host autogestiti che usano kernel vulnerabili e non aggiornati, raccomanda di installare l’aggiornamento del kernel host e riavviare.
| Ambiente | Dichiarazione AWS | Indicazione per l’operatore |
| EC2, Lambda e Fargate gestiti da AWS | Non interessati | Il bollettino non indica un intervento sul kernel host gestito dal cliente |
| Host KVM/virtio-net autogestiti con kernel vulnerabile non aggiornato | Interessati | Installare l’aggiornamento del kernel host e riavviare |
