PwnEscape: Linux-Lücke öffnet den Weg aus der VM
Eine kritische Lücke im Netzwerk-Code des Linux-Kernels erlaubt es, aus einer virtuellen Maschine heraus den Host anzugreifen. Gefunden wurde sie mit Hilfe von GPT-5.6 Sol für unter 700 Dollar. Debian ist gepatcht, Ubuntu und Red Hat noch nicht. Was Firmen mit eigenen Servern und gemieteten VMs jetzt wissen sollten.
Wer einen virtuellen Server mietet oder eigene VMs betreibt, verlässt sich auf eine Grundannahme: Was in einer VM passiert, bleibt in der VM. Genau diese Annahme stellt eine neue Lücke im Linux-Kernel in Frage. Sie trägt den Namen PwnEscape und die Kennung CVE-2026-99999, heise und The Register haben am 19. Oktober ausführlich berichtet. Bemerkenswert ist nicht nur die Lücke selbst, sondern auch, wie sie gefunden wurde: mit einem KI-Modell, in drei Tagen, für unter 700 Dollar.
Was hinter PwnEscape steckt
Der Fehler sitzt nicht in KVM, sondern im IPv4-Netzwerk-Code des Host-Kernels. AlmaLinux stellt das ausdrücklich klar: „PwnEscape is not a bug in KVM.“ Ein Gast schickt über sein virtio-Netzwerkgerät Pakete mit manipulierten Prüfsummen-Angaben, und der Host verarbeitet sie falsch. Im Commit, der das behebt, heißt es:
„If a packet with bad checksum metadata gets into the ipv4 stack, skb_checksum_help can corrupt the network header and cause a bunch of mischief.“
Öffentlich gezeigt sind ein Speicherleck und ein Absturz des Hosts. Die volle Übernahme des Hosts mit Root-Rechten ist dem Finder auf eigenen Testsystemen mit KVM und Firecracker gelungen, die Details hält er zurück. Voraussetzung ist, dass der Angreifer bereits Code in einer VM ausführen kann. Nach Einschätzung von Red Hat, die AlmaLinux wiedergibt, kann die Lücke auch ein lokaler Angreifer ganz ohne VM auslösen.
Bei der Schwere gehen die Bewertungen auseinander: CVE.org nennt einen CVSS-Wert von 9.3 (kritisch), Red Hat 8.8 (wichtig), Ubuntu zeigt 9.3, stuft die Priorität aber nur als mittel ein. Eine Ausnutzung in echten Angriffen ist laut The Hacker News bisher nicht bekannt.
Gefunden mit GPT-5.6 Sol
Entdeckt hat die Lücke Paulos Yibelo von pwn.ai im Rahmen der Vercel Sandbox Challenge. Das Team nutzte GPT-5.6 Sol für die Suche, steuerte die Untersuchung und prüfte die Funde selbst. Die Kosten lagen laut The Hacker News bei unter 700 Dollar an API-Tokens. Gemeldet wurde die Lücke bereits am 4. September, öffentlich wurde sie um den 15. und 16. Oktober. Laut heise rechnen die Finder damit, dass innerhalb weniger Wochen funktionierende Exploits im Untergrund kursieren.
Das passt zu einem Muster, das wir zuletzt öfter gesehen haben: KI senkt die Kosten für Angriffe und für die Suche nach Lücken drastisch, wie auch bei den KI-Agenten, die über 100 Firmen-Websites geknackt haben.
Wer schon gepatcht ist und wer nicht
Der Fix steckt seit Mitte Oktober im offiziellen Linux-Kernel. Bei den Distributionen sieht es Stand 20. Oktober so aus:
- Debian: gepatcht, Debian 12 mit Kernel 6.1.190-1, Debian 13 mit 6.12.113-1.
- AlmaLinux 8, 9 und 10: gepatchte Kernel liegen seit dem 16. Oktober im Testing-Repository.
- Ubuntu: alle Versionen von 14.04 bis 26.04 stehen auf „Needs evaluation“, ein Update gibt es noch nicht.
- Red Hat Enterprise Linux: alle Produktlinien gelten als betroffen, ein Patch steht aus.
Offizielle Workarounds gibt es nicht. AlmaLinux schreibt knapp: „The fix is the patched kernel.“ Gepatcht und neu gestartet werden muss der Host, nicht die Gäste.
Auch Hoster reagieren
Für Kunden von Cloud- und VPS-Anbietern ist entscheidend, was der Anbieter tut. Laut heise startet Netcup seit dem Wochenende seine Virtualisierungs-Hosts wegen PwnEscape neu, Hetzner setzt nach eigener Aussage eine eBPF-basierte Mitigation ein. AWS EC2 ist laut The Register nicht gefährdet, Google Cloud nach dortiger Einschätzung wahrscheinlich ebenfalls nicht. Gefährlich ist die Lücke vor allem dort, wo sich viele fremde VMs einen Host teilen.
Was das für Ihr Unternehmen heißt
- Eigene Virtualisierung prüfen: Wer Proxmox, KVM oder libvirt auf eigenen Linux-Hosts betreibt, sollte den Kernel-Stand der Hosts prüfen und Updates samt Neustart einplanen, sobald sie verfügbar sind.
- Beim Hoster nachfragen: Bei gemieteten VMs liegt der Patch beim Anbieter. Fragen Sie nach, ob und wann die Hosts aktualisiert werden, und rechnen Sie mit kurzen Neustarts.
- Mandantentrennung bewerten: Laufen auf einem Host Systeme mit sehr unterschiedlichem Schutzbedarf, etwa Testumgebungen neben Kundendaten, ist jetzt ein guter Moment, das zu trennen.
- Ubuntu und RHEL im Blick behalten: Hier fehlt der Patch noch. Sicherheitsmeldungen der Distribution abonnieren und zügig nachziehen.
- Sandboxen nicht blind vertrauen: Wer KI-Agenten oder fremden Code in VMs ausführen lässt, sollte VMs als eine Schutzschicht sehen, nicht als die einzige. Mehr dazu in unserem Beitrag zur Agenten-Sandbox von Perplexity.
Fazit
PwnEscape ist noch kein Großbrand, aber eine ernste Warnung: Die Isolation von virtuellen Maschinen hat eine Lücke, und KI macht es billiger, solche Lücken zu finden. Für Unternehmen heißt das vor allem, Patch-Zyklen für Hosts ernst zu nehmen und mit dem Hoster zu sprechen. Wenn Sie Ihre Server- oder Hosting-Landschaft durchgehen wollen, sprechen Sie mich gern an.
