// CLUBIC — LINUX & OPEN SOURCE
Alerte maximale dans le cloud : une faille critique de Linux menace l’étanchéité des serveurs
Une vulnérabilité découverte dans le noyau Linux menace l’isolation des machines virtuelles sur les serveurs KVM. Baptisée PwnEscape et notée 9,3/10 en gravité, elle pousse déjà plusieurs hébergeurs à prendre des mesures d’urgence.
Pour un hébergeur cloud, l’une des pires situations serait de voir un client prendre le contrôle du serveur qui héberge ses machines virtuelles. C’est précisément le risque soulevé par PwnEscape (CVE-2026-99999), une faille critique du noyau Linux révélée par les chercheurs de pwn.ai.
Le problème concerne les infrastructures utilisant KVM, une technologie de virtualisation largement répandue sous Linux. Dans les configurations exposées, un attaquant disposant de privilèges élevés dans une machine virtuelle peut exploiter son interface réseau virtuelle de type virtio pour franchir les protections qui l’isolent du serveur hôte. Il pourrait alors compromettre ce serveur et, potentiellement, les ressources d’autres clients.
La faille ne se trouve pas directement dans KVM, mais dans la manière dont Linux traite certains paquets réseau. Lorsqu’une machine virtuelle transmet des données, elle peut confier au noyau de l’hôte le calcul de leur somme de contrôle, une opération destinée à vérifier l’intégrité des informations échangées.
Or, une mauvaise validation permet de détourner cette opération pour modifier une partie du paquet que Linux avait déjà vérifiée. Cette manipulation peut alors provoquer des accès mémoire qui n’auraient jamais dû être autorisés.
Des chercheurs de pwn.ai ont ainsi réussi à récupérer des informations présentes dans la mémoire du serveur hôte. Ils sont ensuite parvenus, sur leurs propres machines de laboratoire, à exécuter du code avec les privilèges administrateur. Leurs essais ont également provoqué le plantage d’un serveur et des machines virtuelles qu’il hébergeait.
Vercel confirme également qu’une fuite de mémoire de l’hôte a été démontrée sur ses infrastructures de production dans le cadre de son programme de recherche de vulnérabilités. La prise de contrôle complète du serveur a, elle, été obtenue sur les machines de laboratoire des chercheurs.
Ces démonstrations confirment la gravité de PwnEscape, même si aucune exploitation malveillante sur des infrastructures de production n’a été publiquement établie à ce stade.
La divulgation de PwnEscape a déclenché une course aux correctifs. Le patch a été intégré au code réseau de Linux le 8 octobre, avant d’être repris dans le noyau principal quelques jours plus tard, le 14 octobre exactement.
Debian propose déjà des versions corrigées, notamment les noyaux 6.1.190-1 pour Bookworm et 6.12.113-1 pour Trixie. Chez Ubuntu, plusieurs versions étaient encore en cours d’évaluation au moment de notre vérification.