PwnEscape: когда виртуальная машина вырывается на свободу

Мы привыкли думать, что виртуализация — это надёжный способ изолировать рабочие нагрузки друг от друга. Поставил VM в угол, контейнер рядом, и каждый живёт в своём мирке. Красиво, просто, безопасно.

Но что если эти мирки на самом деле соединены потайными ходами?

Именно такой вопрос теперь не даёт покоя специалистам по безопасности после обнаружения PwnEscape (CVE-2026-99999). Критическая уязвимость в ядре Linux позволяет виртуальной машине читать память хост-системы. Не файлы, не процессы — напрямую оперативную память сервера.

Звучит как сценарий из хакерского фильма? Это реальность.

Как это работает

Ядро Linux обеспечивает изоляцию между VM и хостом через механизмы виртуализации. В идеальном мире гостевая система видит только свою память и никуда больше. PwnEscape ломает эту изоляцию.

Проблему наглядно продемонстрировали на песочницах Vercel. Это важно: песочницы созданы именно для того, чтобы быть максимально изолированными и ограниченными. Если уж они под угрозой, то обычные VPS и контейнеры — тем более.

Почему это касается каждого

Давайте честно: практически все мы работаем на виртуализированной инфраструктуре. VPS, контейнеры, managed базы данных — всё это живёт на физическом сервере, разделённое программными перегородками. PwnEscape намекает, что эти перегородки могут оказаться картонными.

Что это значит на практике:

• Мультитенантные среды под угрозой. Если одна VM на хосте скомпрометирована, теоретически она может добраться до данных соседних VM.
• Shared-хостинг становится рискованнее. Изоляция между вашим аккаунтом и чужим — теперь не просто галочка в маркетинговых материалах.
• Контейнеры тоже в зоне риска. Docker, Kubernetes — всё это построено на ядре Linux. Если уязвимо ядро, уязвима вся цепочка.

Хорошая новость: патчи уже есть

Команда ядра Linux оперативно выпустила исправления. Это то, за что мы любим open-source: проблема обнаружена, описана, исправлена — быстрее, чем любая корпорация успела бы созвать совещание.

Если у вас Linux-виртуализация, действуйте немедленно:

1. Обновите ядро. Проверьте security- advisories вашего дистрибутива на предмет патчей для CVE-2026-99999.
2. Проверьте конфигурацию VM. Не держите непроверенные или устаревшие машины рядом с критичными системами.
3. Свяжитесь с хостером. Убедитесь, что провайдер уже накатил патчи на свою инфраструктуру.
4. Мониторинг. Активной эксплуатации пока нет, но расслабляться рано.

Философское отступление

PwnEscape — хорошее напоминание: виртуализация не делает вашу инфраструктуру автоматически безопасной. Технологии, которые мы используем для изоляции, тоже написаны людьми. А люди ошибаются.

Важно не то, что уязвимости существуют. Важно, как быстро мы на них реагируем.

В NameOcean мы следим за ситуацией и держим наши серверы пропатченными. Если вы размещаетесь у нас — можете быть спокойны: наша команда в курсе проблемы.

Модель совместной разработки Linux — это не баг, а фича. Тысячи разработчиков по всему миру работают вместе над тем, чтобы ядро оставалось надёжным. Именно это делает open-source сильнее корпоративных решений.

Обновляйтесь вовремя. Не ждите инцидентов.

Есть вопросы по защите вашей инфраструктуры? Пишите — обсудим, как обезопасить ваши проекты.