Volgens Canonicals Ubuntu-beveiligingstracker, voor het laatst bijgewerkt op 7 november 2026, was de standaardkernel linux voor Ubuntu 26.10 opgelost in 7.3.0-10.10. De standaardpakketten linux voor Ubuntu 22.04, 24.04 en 26.04 en linux-kvm voor Ubuntu 22.04 stonden toen nog als kwetsbaar en in behandeling geregistreerd. Daarmee was één van de vijf regels die NeoTeo op 4 november meldde veranderd.
De status verschilt per Ubuntu-kernelpakket
Canonical registreert PwnEscape-statussen per pakketvariant en Ubuntu-release. De update van 7 november vermeldde onder meer deze regels:
| Ubuntu-release | Kernelpakket | Status op 7 november 2026 | Kernelbuild |
| 22.04 LTS | linux | Kwetsbaar; werk in uitvoering | 5.15.0-203.213 |
| 24.04 LTS | linux | Kwetsbaar; werk in uitvoering | 6.8.0-149.149 |
| 26.04 LTS | linux | Kwetsbaar; werk in uitvoering | 7.0.0-43.43 |
| 26.10 | linux | Opgelost | 7.3.0-10.10 |
| 22.04 LTS | linux-kvm | Kwetsbaar; werk in uitvoering | 5.15.0-1112.117 |
| 22.04 LTS | linux-hwe-6.8 | Kwetsbaar; werk in uitvoering | 6.8.0-149.149~22.04.1 |
| 22.04 LTS | linux-azure | Opgelost | 5.15.0-1125.134 |
| 22.04 LTS | linux-aws | Kwetsbaar; werk in uitvoering | 5.15.0-1120.127 |
Voor Ubuntu 22.04 stonden linux-azure en linux-aws dus op verschillende statussen. De status van de standaardkernel zegt niet automatisch iets over KVM-, HWE- of cloudvarianten. Controleer daarom de exacte kernelpakketvariant op de host; alleen het Ubuntu-releasenummer geeft die status niet aan.
Bij PwnEscape moet je de trackerregel voor de precieze kernelvariant op de host volgen, niet alleen die voor dezelfde Ubuntu-release.
PwnEscape zit in de IPv4-verwerking van de kernel
Canonical beschrijft CVE-2026-99999, ook bekend als PwnEscape, als een probleem met IPv4-checksumverwerking. Onjuiste checksummetadata kan de IPv4-stack bereiken en ervoor zorgen dat skb_checksum_help de netwerkkoptekst beschadigt.
De kwetsbare verwerking zit in de hostkernel. Een update van het guestsysteem in een virtuele machine werkt die hostkernel niet bij; de gast en de host gebruiken afzonderlijke kernels. De status van een gastupdate vertelt dus niet of de kernel van de host is bijgewerkt.
