Critical PwnEscape Linux Kernel Vulnerability Lets Guest VMs Read Host Memory
2026-10-16
Se ha identificado una vulnerabilidad crítica en el núcleo (kernel) de Linux, identificada como CVE-2026-99999 y apodada 'PwnEscape'. El fallo reside en el código de redes del sistema y permite que una máquina virtual (VM) rompa su aislamiento para acceder a la memoria del servidor físico que la aloja.
El investigador Paulos Yibelo, de la firma pwn.ai, demostró que mediante el envío de paquetes de red IPv4 malformados desde una máquina virtual, un atacante puede leer la memoria del anfitrión, provocar que el servidor se bloquee o incluso ejecutar código de forma remota. El fallo tiene una puntuación de severidad de 9.3 sobre 10.
Aunque el problema fue detectado en los entornos de prueba de la empresa Vercel, el error no es de su configuración, sino de una capa compartida que usan casi todos los proveedores de servicios en la nube. Esto significa que el riesgo afecta a la infraestructura de múltiples plataformas que utilizan el núcleo de Linux para separar a sus clientes.
La vulnerabilidad fue descubierta mediante el uso de inteligencia artificial para analizar el código fuente. Según el reporte, el fallo ocurre porque el sistema no verifica correctamente los metadatos de los paquetes de red, permitiendo que se sobrescriban campos de seguridad después de que el sistema ya los haya validado.
Qué significa para una pyme colombiana y cucuteña: Si usted utiliza servicios de servidores en la nube (como AWS, Google Cloud o Azure) o tiene servidores propios con sistemas Linux para ejecutar aplicaciones o máquinas virtuales, debe verificar que el núcleo (kernel) esté actualizado. El parche ya existe, pero es responsabilidad de su proveedor de servicios o de su equipo técnico aplicarlo. Si gestiona sus propios servidores, asegúrese de actualizar a las versiones corregidas (como la 5.10.272, 5.15.223 o 6.1.190, entre otras mencionadas en el reporte) y reinicie el equipo para que los cambios surtan efecto.
cyberkendra.com · cybernews.com · cybersecuritynews.com · cyberpress.org