2026年10月15日に「CVE-2026-99999」として公開されたLinuxカーネルに関する重大な脆弱性“⁠Guest-to-Host KVM Escape⁠”について、発見者のpwn.aiから発見にいたる概要と背景に関する報告があった。

• PwnEscape: Guest-to-Host KVM Escape (CVE-2026-99999) | PWN.AI Security Research

CVE-2026-99999（PwnEscape: Guest-to-Host KVM Escape）は、仮想マシン（ゲストOS）から親環境となるホストOSにアクセスし、システムを完全に制御できるLinuxカーネルの重大な脆弱性。「⁠KVM Escape」という名称がついているが、ハイパーバイザ（KVM）自体の欠陥ではなく、Linuxカーネルのネットワークスタックに潜む脆弱性で、KVMを使用する仮想化、サンドボックス環境に関係するバグである。

発見の背景

2026年8月18日、Vercelは同社のサンドボックス製品の隔離境界を突破する研究者を募る賞金総額が最大で100万ドルとなるチャレンジを発表した。この発表の直前の2026年7月にはOpenAIのモデルによるHugging Faceへの侵害事件が公表されている。Vercelのチャレンジは、この事件で起きたような、AIによる「サンドボックスのネットワーク制限の突破」とともに、「⁠仮想マシン自体を突破してホストに到達する」ことも試みるよう促すものであった。

pwn.aiが後者の手法についてチャレンジを行ったところ、発見されたのが今回の脆弱性である。同社の研究チームは実験的研究基盤（Omega-Pwn）とLLM（GPT-5.6 Sol）を活用し、人間の直感や洞察力とLLMの分析能力を組み合わせることによって、3日間でホストのメモリ情報を漏えいさせる基本的な攻撃手法を発見、実証したという。

何が起きているのか？

CVE-2026-99999は、ネットワーク処理においてチェックサム計算を後段へ委ねる際の、メタデータの検証不備による脆弱性である。リンクレイヤー（L2）とネットワークレイヤー（L3）でデータ位置の境界が異なる場合のチェック不備のため、受信した検証済みのIPv4ヘッダーが後続のチェックサム処理で書き換えられてしまう。これにより、たとえば20バイトであったヘッダー長を60バイトなどに偽装することが可能となる。その結果、カーネルは「後ろに続くホスト側のメモリデータ」までパケットのヘッダー（IPオプション）の一部として誤認識して送信する。これを使ってホストのメモリ情報を繰り返し取得（メモリ開示）できるようになる。

研究チームはこのやり方とさらに別の手法を組み合わせ、自ら管理するKVM環境でゲストOS側からホストOSの領域へ不正書き込み・読み出しを行い、最終的にホストの権限（root）を奪取し完全なVM脱出（Guest-to-Host Escape）が可能なことを検証した。

なぜ“99999”なのか？

この脆弱性の発見後、pwn.aiの研究チームとVercelはLinuxカーネル開発者や関連する事業者と連携し、Linuxカーネル本体に修正パッチを適用、配布するための調整を行った。

なお、この脆弱性に「CVE-2026-99999」という印象的な識別番号が割り当てられたのは偶然ではなく、その影響の大きさとKVM脱出のための新しい攻撃対象領域を発見したことで、Linuxメンテナーから特別な番号をつけることを提案された、とpwn.aiのエンジニアであるPaulos Yibelo氏が明かしている。