Noyau Linux : PwnEscape permet à une VM de lire la mémoire de l'hôte (CVE-2026-99999)

Découverte lors du challenge de sécurité de Vercel par un chercheur de pwn.ai, la faille CVE-2026-99999, surnommée PwnEscape, touche le code réseau du noyau Linux de l'hôte. Des paquets réseau forgés depuis une VM permettent de lire la mémoire de l'hôte (démontré en production chez Vercel), de le faire planter, et en laboratoire d'y exécuter du code. Le score officiel est de 9.3.

Qui est concerné ?

Tous les hôtes de virtualisation Linux : Proxmox VE, KVM/QEMU, Firecracker. L'attaquant doit déjà exécuter du code dans une VM invitée (vecteur local) : ce n'est pas exploitable depuis Internet, mais c'est critique pour toute infrastructure qui héberge des VM de clients.

Corriger

La mise à jour doit porter sur le noyau de l'hôte ; mettre à jour les invités ne suffit pas.

# Debian 13 / Debian 12
apt update && apt full-upgrade
reboot

# Proxmox VE
apt update && apt dist-upgrade
reboot

Vérifier

uname -r
dpkg -l 'linux-image-*' | awk '/^ii/ {print $2, $3}'
# Debian 13 : 6.12.113-1 ou plus ; Debian 12 : 6.1.190-1 ou plus

Pour Proxmox, vérifier le bulletin du noyau proxmox-kernel correspondant : ses versions ne suivent pas celles de Debian.

Contournement

Aucun contournement spécifique. En attendant le redémarrage, désactiver la virtualisation imbriquée et limiter les droits des processus de VM réduit l'impact sans corriger la faille.