CVE-2026-99999：KVM 逃逸漏洞与检测脚本
先了解这件事
研究人员披露 Linux 内核网络栈漏洞 CVE-2026-99999（PwnEscape）：攻击者可从 KVM 客户机向虚拟网络投递构造数据包，在主机内核校验 IPv4 头后改写长度字段，造成主机内存泄露；研究人员称在其控制的系统上实现了主机崩溃和 root 级代码执行，但从内存泄露到代码执行的完整利用步骤尚未公开。 研究者 sqzer-x 公开了 shell 脚本 scanner-cve-2026-99999.sh 用于检测，需在宿主机而非容器内运行；其说明称 2.6.27 以来的内核均受影响，主要风险对象是运行不受信任客户机的虚拟化主机，当时无已发布缓解措施，唯一修复是启动已修复内核。GitHub 另有项目公开本地模拟脚本，作者称仅用于教育分析、不联网、不需 root、不触发真实漏洞；另有公开 PoC 称在 KVM/QEMU vhost-user 环境触发堆内存泄露，需 root 或 CAP_NET_RAW 权限。 修复已合入 Linux 主线，多个发行版已提供修复内核版本；Red Hat 将 OpenShift Container Platform 组件列为受影响，Docker、Xen 等尚未发布公告。
AI 根据报道生成 · 2 天前更新
事件进展
3 个进展
- 10月21日 05:37 · 1 篇报道Linux 内核 KVM 逃逸漏洞 CVE-2026-99999 披露CSO Online：Linux 内核网络栈漏洞 CVE-2026-99999 可实现 KVM 逃逸
- 10月20日 16:45 · 2 篇报道公开 CVE-2026-99999 可运行 PoCSploitus 利用聚合：CVE-2026-99999 的可用 PoC 公开，利用 virtio-net 校验和卸载泄露 Linux 内核堆内存
- 10月20日 15:06 · 1 篇报道发布 CVE-2026-99999 检测与修复脚本Sploitus 利用聚合：CVE-2026-99999 PwnEscape 检测脚本发布，覆盖多发行版内核修复状态
报道时间线
沿着报道，了解事件的不同侧面。
- CSO Online精选Linux 内核网络栈漏洞 CVE-2026-99999 可实现 KVM 逃逸
研究人员在 Linux 内核网络栈中发现 CVE-2026-99999（代号 PwnEscape），攻击者可通过精心构造的数据包在主机内核校验 IPv4 头之后改写其长度字段，从而造成主机内存泄露，并在研究人员控制的系统上实现主机崩溃和 root 级代码执行。
- Sploitus 利用聚合CVE-2026-99999 的可用 PoC 公开，利用 virtio-net 校验和卸载泄露 Linux 内核堆内存
GitHub 上公开了 CVE-2026-99999 的可用 PoC，在 KVM/QEMU 的 vhost-user 环境中触发 Linux 内核堆内存泄露。
- Sploitus 利用聚合CVE-2026-99999 Linux 内核 virtio-net 校验和缺陷的模拟复现项目
GitHub 项目 CVE-2026-99999-analysis 公开了针对 Linux 内核 IPv4 csum_start 校验缺陷的本地模拟脚本，作者称其为教育分析用途，不联网、不需要 root，也不触发真实漏洞。
- Sploitus 利用聚合精选CVE-2026-99999 PwnEscape 检测脚本发布，覆盖多发行版内核修复状态
研究者发布 shell 脚本 scanner-cve-2026-99999.sh，用于检测 Linux 系统是否受 CVE-2026-99999（PwnEscape）影响。
本事件热度走势
还没有足够的连续观测数据，暂不绘制趋势。