Sicurezza · 22 ottobre 2026
Scoperta vulnerabilità critica PwnEscape nel kernel Linux che consente la fuga dalle macchine virtuali
Una grave falla di sicurezza denominata PwnEscape è stata identificata nel kernel Linux, consentendo alle macchine virtuali ospitate su sistemi KVM di violare il proprio isolamento e compromettere l'host sottostante. Questa vulnerabilità permette a un utente malintenzionato, come un cliente di un fornitore di servizi cloud, di prendere il controllo dell'infrastruttura di virtualizzazione e manipolare le macchine virtuali di altri clienti. I primi gestori di infrastrutture cloud hanno iniziato ad applicare aggiornamenti ai propri sistemi durante il fine settimana, mentre gli amministratori di hypervisor basati su KVM sono invitati a installare immediatamente le correzioni disponibili.
La vulnerabilità risiede profondamente nel codice di rete del kernel Linux e sfrutta un meccanismo legato ai metadati virtio. Durante la consegna dei pacchetti, una macchina virtuale può specificare la posizione in cui il kernel dovrà successivamente calcolare la checksum di trasporto. Il kernel ha validato in modo errato questa posizione, causando la scrittura della checksum in un'area di memoria non corretta. I ricercatori di pwn.ai hanno dimostrato in ambiente controllato che questo errore consente ripetutamente di uscire dall'ambiente isolato della macchina virtuale, provocando anche il crash degli hypervisor e di tutte le macchine virtuali in esecuzione su di essi.
Gli esperti descrivono questa falla come appartenente a una nuova classe di vulnerabilità definita inversione della fiducia nei metadati differiti. Sebbene condivida caratteristiche con gli errori TOCTOU, ovvero differenze temporali tra verifica e utilizzo, questa specifica falla non richiede una condizione di corsa tipica di tale categoria. È sufficiente un'operazione di scrittura differita controllata dall'attaccante per sfruttare la vulnerabilità. La gravità del problema è confermata dall'assegnazione dell'identificativo CVE-2026-99999, con un punteggio CVSS di 9,3 su 10, classificato come critico.
I pacchetti aggiornati per il kernel Linux sono stati rilasciati lunedì mattina per le distribuzioni Debian, mentre per Ubuntu e Red Hat la correzione è ancora in attesa di implementazione. Gli amministratori di sistemi di virtualizzazione basati su KVM devono pianificare un riavvio immediato dopo l'installazione del nuovo kernel. I ricercatori prevedono che entro poche settimane potrebbero circolare exploit funzionanti, potenzialmente capaci di colpire anche hypervisor diversi da KVM. Alcuni grandi fornitori di hosting hanno già reagito: Netcup ha avviato il riavvio dei propri host di virtualizzazione, mentre Hetzner ha implementato una mitigazione basata su eBPF che riconosce e blocca il vettore di attacco a livello di sistema senza necessità di riavvio immediato.
L'episodio evidenzia un paradosso nella sicurezza informatica contemporanea: la vulnerabilità è stata scoperta in soli tre giorni utilizzando strumenti di intelligenza artificiale avanzata, con un costo inferiore a settecento dollari statunitensi in token, mentre la correzione del codice di rete del kernel Linux ha richiesto settimane, essendo stata integrata ufficialmente solo l'otto ottobre. I clienti dei fornitori di servizi cloud non devono intraprendere azioni dirette, ma è consigliabile verificare la resistenza al riavvio delle proprie istanze virtuali.