La faille PwnEscape (CVE-2026-99999), critique, permet à une VM invitée de lire la mémoire de l'hôte via le noyau Linux.

Une faille PwnEscape secoue la communauté de la sécurité cloud. Cette vulnérabilité critique touche le noyau Linux. En effet, elle permet à du code exécuté dans une machine virtuelle de lire la mémoire de l’ordinateur hôte. Autrement dit, la frontière censée isoler l’invité de son hébergeur peut être franchie en lecture.

Le défaut est référencé sous l’identifiant CVE-2026-99999. Son surnom, PwnEscape, évoque une évasion de machine virtuelle. Cependant, il s’agit ici d’une fuite de données mémoire. Il ne s’agit pas d’une prise de contrôle démontrée de l’hôte.

Faille PwnEscape : ce que l’on sait

Un chercheur en sécurité a mis en évidence le problème. Il ne s’est pas contenté d’une théorie. En effet, il a démontré la fuite de mémoire contre les bacs à sable cloud en production de Vercel. Ensuite, l’entreprise a confirmé les faits.

Cette confirmation change la portée de l’alerte. En effet, une démonstration sur un service réel prouve que l’attaque fonctionne hors du laboratoire. Elle montre également qu’un fournisseur d’envergure a pu être concerné.

Toutefois, les informations disponibles à ce stade restent limitées. Elles ne précisent pas les versions du noyau touchées. Elles n’indiquent pas non plus le détail des correctifs. Il faudra donc suivre les avis officiels des mainteneurs et des éditeurs de distributions.

Un défaut dans le réseau du noyau Linux

Le point le plus important tient à l’origine du bogue. La vulnérabilité se situe dans le code réseau du noyau Linux. En effet, elle ne provient pas de la configuration d’un fournisseur de cloud en particulier.

Cette nuance est essentielle. Une erreur de configuration se corrige chez l’opérateur concerné. En revanche, un défaut du noyau se retrouve partout où ce composant est présent. Par conséquent, l’exposition dépasse largement le cas de Vercel.

Le code réseau est aussi un composant très sollicité. Il traite en permanence des paquets venus de sources variées. C’est pourquoi les erreurs qui s’y glissent ont souvent des conséquences sérieuses. Dans un environnement virtualisé, elles peuvent ainsi mettre en jeu l’étanchéité entre locataires.

Pourquoi la faille PwnEscape inquiète le cloud

Le cloud repose sur le partage de ressources. Ainsi, plusieurs clients exécutent leur code sur la même machine physique. L’isolation entre machines virtuelles garantit que chacun reste dans son périmètre. Par conséquent, si elle faiblit, la confiance du modèle s’effrite.

La lecture de la mémoire de l’hôte est particulièrement délicate. Cette mémoire peut contenir des informations sensibles. Il peut s’agir, par exemple, de données appartenant à d’autres charges de travail ou d’éléments internes à l’infrastructure. Toutefois, le contenu exact exposé dépendra des conditions d’exploitation. La source ne détaille pas ces conditions.

De plus, les bacs à sable exécutent souvent du code tiers non fiable. C’est le principe même de ces services. Un attaquant n’a alors qu’à fournir du code malveillant pour tenter l’exploitation. La démonstration contre Vercel illustre donc précisément ce scénario.

Il faut néanmoins rester mesuré. La faille donne un accès en lecture à la mémoire de l’hôte. Rien, dans les éléments disponibles, ne confirme une exécution de code sur la machine hôte. En revanche, une fuite de mémoire peut servir de première étape dans une chaîne d’attaque plus large.

Recommandations pour les équipes techniques

Les équipes qui exploitent des machines virtuelles ou des conteneurs doivent réagir sans attendre. D’abord, il faut identifier les systèmes reposant sur le noyau Linux. Ensuite, il convient de suivre les bulletins de sécurité liés à CVE-2026-99999.

Voici les actions à envisager :

• Inventorier les hôtes de virtualisation et les environnements de bac à sable utilisant Linux.
• Surveiller les avis des éditeurs de distributions et du projet du noyau pour connaître les versions corrigées.
• Appliquer les mises à jour du noyau dès leur publication, puis redémarrer si nécessaire.
• Limiter l’exécution de code non fiable sur les hôtes critiques, en attendant le correctif.
• Isoler les charges de travail sensibles sur des hôtes dédiés lorsque c’est possible.

Les clients de services cloud, eux, dépendent de leur fournisseur. Ils peuvent toutefois lui poser des questions précises. Par exemple, le correctif est-il déployé ? Les hôtes ont-ils été redémarrés ? En effet, une communication transparente reste le meilleur indicateur de sérieux.

Ce qu’il faut retenir

• La faille PwnEscape, suivie sous CVE-2026-99999, est une vulnérabilité critique du noyau Linux.
• Elle permet à du code d’une machine virtuelle invitée de lire la mémoire de l’hôte.
• Un chercheur l’a démontrée contre les bacs à sable cloud de Vercel. L’entreprise l’a ensuite confirmée.
• Le défaut se trouve donc dans le code réseau du noyau, pas dans la configuration d’un cloud précis.
• Enfin, les versions affectées et les correctifs doivent être vérifiés auprès des sources officielles.

Ce dossier rappelle une règle simple. L’isolation des machines virtuelles n’est jamais acquise. En effet, elle dépend de la solidité du noyau qui la porte. Les mises à jour rapides et la réduction de la surface d’exposition restent donc les meilleures défenses.

Source : Critical PwnEscape Linux Kernel Vulnerability Lets Guest VMs Read Host Memory