【高危风险提醒】CVE-2026-99999 关于 Linux 内核 PwnEscape 漏洞的安全提醒
【高危风险提醒】CVE-2026-99999 关于 Linux 内核 PwnEscape 漏洞的安全提醒
漏洞名称：PwnEscape
漏洞编号：CVE-2026-99999
漏洞类型：KVM 逃逸 / 本地权限提升 / 内核代码执行
影响范围：Linux Kernel 2.6.27 及以上版本
风险等级：高危（Critical）
CVSS 3.1 评分：9.3
核心风险说明：
CVE-2026-99999 是 Linux 内核 IPv4 网络栈中的关键安全漏洞，由研究团队披露并命名为 PwnEscape。攻击者可通过发送携带畸形校验和元数据的 IPv4 数据包，触发内核内存越界写入，实现从虚拟机到宿主机的逃逸，或在受影响主机上获取内核级代码执行权限。该漏洞利用门槛低，单个特制数据包即可触发，无需认证，隐蔽性强。研究团队已公开漏洞细节与利用分析。
技术要点：
漏洞位于内核函数 skb_checksum_help。当数据包进入 IPv4 栈时，内核未对校验和元数据中的 checksum_start 字段进行充分验证，便依据该偏移量执行内存写操作。攻击者可构造校验和元数据被篡改的数据包，使内核在 IPv4 头部之后写入数据，破坏网络头结构并覆盖相邻内核内存区域。
该漏洞被归类为 CWE-121 栈缓冲区溢出和 CWE-20 输入验证不当。攻击者利用任意写原语可修改内核中的关键数据结构，包括返回地址，从而在内核上下文中执行任意代码。在虚拟化环境中，恶意虚拟机无需攻破 KVM 本身，仅通过向宿主机 Linux 网络栈发送特制数据包，即可实现宿主机内存泄露乃至完全控制。
已知受到影响的版本：
Linux Kernel 2.6.27 及以上，直至各稳定分支的修复版本。
受影响主要稳定分支包括：5.10.272 之前、5.15.223 之前、6.1.190 之前、6.6.159 之前、6.12.113 之前、6.18.57 之前、7.2.11 之前等。
目前已知受影响操作系统及版本：
Ubuntu 14.04 LTS 至 26.04 LTS，状态为“需评估”
Red Hat Enterprise Linux 相关版本，Red Hat 评分为 8.8，攻击向量为本地，低权限要求
Debian、CentOS、RHEL 等主流发行版均受影响
VulDB 指出攻击可远程发起，且无需认证
排查方法：
检查内核版本
uname -r
检查内核编译时间及配置
uname -a
grep -E 'CONFIG_INET|CONFIG_IPV4' /boot/config-$(uname -r)
检查是否存在相关网络模块
lsmod | grep -E 'esp4|esp6|ipv4|xfrm'
检查系统是否运行虚拟化环境
systemd-detect-virt
自查建议：
确认当前内核版本及编译时间，评估是否处于受影响区间；检查系统是否运行 KVM、Xen 等虚拟化环境；核实是否存在异常 IPv4 流量或网络栈内存破坏迹象；复核系统日志与内核崩溃记录。云服务提供商和多租户虚拟化环境应优先排查。
修复方案：
该漏洞已在 Linux 内核多个稳定版本中修复，包括 5.10.272、5.15.223、6.1.190、6.6.159、6.12.113、6.18.57、7.2.11 及 7.3-rc7 及以上版本。
Ubuntu / Debian 系统：
sudo apt update && sudo apt upgrade
sudo reboot
RHEL / CentOS / Fedora / AlmaLinux / Rocky Linux 系统：
sudo dnf update kernel
sudo reboot
openSUSE / SUSE 系统：
sudo zypper update
sudo reboot
升级后必须重启系统，以确保新内核生效。旧内核仍在内存中运行时，补丁不会生效。
紧急缓解策略：
Red Hat 明确表示，该漏洞没有符合其安全标准的临时缓解方案。在无法立即升级内核的情况下，可采取的权宜措施极为有限。
严格限制不可信 IPv4 流量进入内核网络栈，例如通过虚拟机网络隔离策略阻断 guest 向 host 发送原始网络包。
评估禁用或卸载受影响的网络模块，但需考虑对业务的影响。
对云环境和多租户虚拟化平台，优先隔离高风险虚拟机，限制其向宿主机发送特制数据包的能力。
这些措施无法从根本上消除漏洞，升级内核仍是唯一有效修复路径。
风险总结：
该漏洞攻击路径极短，单个特制数据包即可触发；影响面极广，覆盖近十年 Linux 内核版本；后果极重，可实现 guest-to-host 逃逸和内核代码执行。对于云服务提供商和多租户虚拟化环境，一台被攻陷的虚拟机可以直接威胁同一宿主机上的所有其他租户。建议优先评估并立即应用内核补丁，升级后重启系统。
参考来源：
Ubuntu Security： https://ubuntu.com/security/CVE-2026-99999