Aktuelles

Ausbruch per Prüfsumme: PwnEscape reißt die Wand zwischen VM und Server ein

Woran erkennt man einen Linux-User? Er sagt es dir! Im Zuge eines weiter verlaufenden Gesprächs wird dann immer gern behauptet, dass Linux-Systeme weitaus weniger anfällig für Hackerangriffe sind - etwa im Vergleich zu Windows (was Unsinn ist, wenn das System halbwegs gut gepflegt wird). Mit PwnEscape ist nun aber eine Schwachstelle aufgetaucht, die Linux-Server und insbesondere Cloud-Hoster lahmlegen könnte. Der Fehler steckt im Netzwerkbereich von Linux und scheint Teil eines ganz neuen Typs von Sicherheitslücken zu sein.

Es reichen zwei manipulierte Netzwerkpakete. Mehr braucht es nicht, um einen Linux-Host in die Knie zu zwingen, samt aller virtuellen Maschinen, die darauf laufen. Die Lücke heißt PwnEscape, steckt seit 2008 (!) im Kernel und wurde von einem Forscher gefunden, dessen KI-Werkzeug dafür weniger gekostet hat als ein anständiges Laptop.

Der 18. August 2026 war ein Tag mit großer Geste. Vercel, der Hoster hinter Next.js, lobte eine Million Dollar aus. Wer aus Vercel Sandbox ausbricht, kassiert. Die Sandbox ist der Ort, an dem Vercel fremden Code laufen lässt, zunehmend den von KI-Agenten. Jeder Kunde bekommt eine eigene Firecracker-MicroVM mit eigenem Linux-Kernel, darunter laufen nackte EC2-Server bei Amazon. Mehr Isolation geht kaum.

Am dritten Tag lag ein Bericht von Paulos Yibelo auf dem Tisch, Forscher bei pwn.ai. Das Pikante daran: Der Fehler, den er gefunden hatte, gehörte gar nicht Vercel. Er gehörte Linux. Genauer gesagt dem Netzwerk-Stack des Kernels, also genau der Schicht, auf die sich fast jeder große Cloud-Anbieter verlässt, wenn er Kunden voneinander trennt.

Die Mär vom unverwundbaren Pinguin

Kennen Sie den Satz „Linux kriegt keine Viren"? Er hält sich hartnäckig, ungefähr so hartnäckig wie die Überzeugung, dass ein Passwort mit Ausrufezeichen am Ende sicher ist. Linux ist ein solides System. Gut gepflegt ist es schwer zu knacken. Aber das gilt für ein sauber gewartetes Windows genauso. Sicherheit ist keine Eigenschaft des Logos auf der Packung, sondern das Ergebnis von Pflege, Patches und Architektur.

PwnEscape zeigt das ziemlich drastisch. Die Lücke trägt die Kennung CVE-2026-99999 – eine Nummer, die schon fast nach Absicht aussieht – und ein CVSS-Rating von 9,3 von 10. Das ist „kritisch", knapp unter dem Maximum. Das Linux-Kernel-CVE-Team datiert den fehlerhaften Code zurück bis Kernel 2.6.27. Der erschien 2008. Damals lief auf den meisten Smartphones noch Symbian, die Älteren unter uns werden sich erinnern.

Was genau da schiefläuft – die Kaffeetassen-Version

Jedes Netzwerkpaket hat eine Prüfsumme. Mit ihr kontrolliert der Empfänger, ob unterwegs etwas kaputtgegangen ist. Diese Summe auszurechnen kostet Rechenzeit. Linux spart sich deshalb gern Arbeit und schiebt die Berechnung auf: Der Kernel merkt sich nur, wo im Paket die Prüfsumme später hingeschrieben werden soll, und erledigt das erst kurz vor Schluss. Fachleute nennen das Checksum Offloading.

Der Haken: Die Angaben, wohin diese spätere Schreiboperation zielt, kann eine virtuelle Maschine über die virtio-Schnittstelle selbst mitliefern. Der Host vertraut ihnen. Yibelo baute nun Pakete, bei denen dieser verspätete Schreibvorgang nicht die Prüfsumme trifft, sondern den IPv4-Header selbst und zwar das Feld, das die Länge des Headers angibt.

Der Ablauf sieht dann so aus: Der Kernel liest den Header, sieht eine Länge von 20 Bytes, prüft alles, ist zufrieden und trifft seine Entscheidungen. Danach schreibt die Prüfsummen-Routine an die vom Gast bestimmte Stelle und verändert den Header nachträglich. Wenn später der Code für die Fragmentierung das Paket erneut anfasst, liest er eine ganz andere Header-Länge. Die Forscher bringen das Problem auf eine Formel, die man sich merken sollte: Verschiedene Teile von Linux durften verschiedenen Versionen desselben Pakets vertrauen.

Das Ergebnis lässt sich in drei Stufen beschreiben:

• Speicherleck: Jedes präparierte Paket spült rund 32 Bytes Speicher des Hosts in die VM zurück. Das klappte live gegen Vercels Produktiv-Sandboxen, Vercel hat es bestätigt.
• Absturz: Zwei manipulierte Pakete reichen, um den Host zu crashen. Damit fallen alle Sandboxen um, die auf dieser Maschine laufen. Auch auf Testhosts mit Linux 6.12 und 7.x ließ sich das reproduzieren.
• Übernahme: Im Labor, auf Maschinen mit Vercel-identischer Konfiguration, schaffte Yibelo Root-Codeausführung auf dem Host. Allerdings nicht zuverlässig bei jedem Versuch, wir wollen nicht ungerecht sein.

Eine neue Fehlerklasse, nicht nur ein neuer Fehler

Hier wird die Sache größer als ein einzelner Bug. Yibelo schreibt in seinem Bericht sinngemäß: Nach seinem Kenntnisstand öffne PwnEscape eine völlig neue Klasse von Angriffen auf den Linux-Netzwerk-Stack. Nicht vertrauenswürdige Prüfsummen-Metadaten können sicherheitsrelevante Felder umschreiben, nachdem der Kernel sie bereits geprüft und darauf reagiert hat. Und das betrifft Annahmen, die weit über den ursprünglichen VM-Ausbruch hinausreichen.

Übersetzt heißt das: Wo ein solches Muster existiert, gibt es vermutlich noch mehr davon. Der jetzt eingespielte Patch sichert die Prüfsummen-Schreiboperation ab. Er ist aber ausdrücklich nur ein erster Schritt. Malformierte Pakete schon beim Eintreffen herauszufiltern, braucht laut den Berichten noch Arbeit. Wer bei Sicherheitslücken in Wellen denkt: Diese hier dürfte erst die erste sein.

Kein Internet-Wurm, aber ein Albtraum für Hoster

Bevor jetzt jemand panisch den Stecker zieht: PwnEscape ist keine Lücke, die ein Angreifer aus dem offenen Internet auf beliebige Server abfeuern kann. Wer sie ausnutzen will, muss bereits Code innerhalb einer virtuellen Maschine ausführen können. Es geht quasi um den Ausbruch aus dem Gast in den Wirt.

Das klingt beruhigend, ist es aber nur für einen Teil der Welt. Denn es gibt eine ganze Branche, deren Geschäftsmodell genau darin besteht, fremden Leuten Code in VMs ausführen zu lassen:

• Cloud- und VPS-Anbieter, bei denen sich Dutzende Kunden einen physischen Server teilen
• CI/CD-Plattformen, die Builds aus beliebigen Repositories abarbeiten
• Sandboxes für KI-Agenten, die per Definition unberechenbaren Code laufen lassen
• Umgebungen zur Malware-Analyse, deren Job es ist, Schadsoftware einzusperren

Für all diese Betreiber ist die VM die eigentliche Sicherheitsgrenze. Bricht sie, landet der Mieter von Zimmer 3 in der Heizungsanlage des ganzen Hauses. Und von dort sind es nur ein paar Schritte bis zu den Zimmern 1, 2, 4 und 5.

Wichtig: Der Fehler steckt nicht in KVM, nicht in Firecracker und nicht in der Konfiguration eines bestimmten Anbieters. pwn.ai betont sogar, Vercels Sandbox sei über Branchenstandard gehärtet gewesen, eine Fehlkonfiguration habe man nicht gefunden. Genau das macht die Lücke so unangenehm. Man konnte alles richtig machen und war trotzdem verwundbar.

700 Dollar, drei Tage, eine KI

Der vielleicht spannendste Teil der Geschichte ist die Werkbank. Yibelo arbeitete mit Omega-Pwn, einem experimentellen Analyse-Werkzeug, das GPT-5.6 Sol für die Quellcode-Analyse nutzt. Die Menschen legten fest, wo gesucht wird und was als Beweis zählt. Die Maschine durchkämmte den Code. Die erste verwertbare Angriffsprimitive stand nach drei Tagen. Die Kosten für API-Tokens lagen laut pwn.ai unter 700 Dollar.

Man muss sich das kurz auf der Zunge zergehen lassen. Ein Fehler, der 18 Jahre lang Tausenden Augenpaaren in einem der meistgeprüften Open-Source-Projekte der Welt entgangen ist, fällt in einem verlängerten Wochenende für den Preis eines Mittelklasse-Smartphones auf. Das ist eine gute Nachricht für Verteidiger, die solche Werkzeuge einsetzen. Und eine ziemlich schlechte, wenn man daran denkt, wer sie sonst noch einsetzen kann.

Bemerkenswert auch: Die Sicherheitsfirma Trail of Bits, die Vercel parallel mit vollem Quellcodezugriff auf die Sandbox angesetzt hatte, stieß unabhängig davon auf dieselbe Ursache. Für Vercel war das die Bestätigung, dass der Fund echt ist und von zwei völlig verschiedenen Seiten auffindbar.

Ein Gewinner unter 1.285 Einsendungen

Vercels Bilanz der Challenge liest sich nüchtern. 1.285 Berichte gingen ein, PwnEscape war der einzige mit der Einstufung „kritisch". Kein Bericht zeigte einen Zugriff auf Dateien, Secrets oder Anwendungsdaten von Kunden. Den vollständigen Host-Ausbruch demonstrierte Yibelo nur auf eigenen Labormaschinen, nicht in Vercels Produktion. Vercel verweist darauf, Host-Kernel aktuell zu halten und verschachtelte Virtualisierung abzuschalten. Das beschreibt allerdings nur Vercels eigenes Setup. Andere Betreiber müssen ihre Hosts selbst prüfen.

AWS hat ebenfalls Stellung bezogen: Die verwalteten Dienste EC2, Lambda und Fargate seien nicht betroffen. Gefährdet sind laut AWS ungepatchte Kernel der Versionen 4.4 bis 6.18, wenn selbst verwaltete KVM-Hosts mit virtio-net/TAP-Netzwerk arbeiten. Einen Workaround gibt es nicht. Die Empfehlung lautet: Kernel aktualisieren, neu starten.

Zeitleiste eines Ausbruchs

Datum	Ereignis
2008	Der fehlerhafte Code landet mit Kernel 2.6.27 in Linux
18. August 2026	Vercel startet die Sandbox-Challenge mit bis zu 1 Million Dollar Preisgeld
Drei Tage später	Paulos Yibelo (pwn.ai) meldet die erste Angriffsprimitive
8. Oktober 2026	Der Patch wird in den Linux-Entwicklungszweig aufgenommen
14. Oktober 2026	Merge in den Mainline-Kernel; Vercel veröffentlicht die Bilanz der Challenge
15. Oktober 2026	Öffentliche Bekanntgabe von CVE-2026-99999 samt technischem Bericht

Was Admins jetzt auf ihre Liste setzen sollten

Die gute Nachricht: Es gibt einen Fix. Die schlechte: Er ist noch nicht überall angekommen. Mehrere Distributionen hatten ihn zum Zeitpunkt der Veröffentlichung noch nicht an ihre Nutzer ausgeliefert. Diese Stable-Kernel enthalten die Korrektur:

Kernel-Zweig	Gefixt ab Version
5.10	5.10.272
5.15	5.15.223
6.1	6.1.190
6.6	6.6.159
6.12	6.12.113
6.18	6.18.57
7.2	7.2.11

Drei Punkte, die in der Hektik gern untergehen:

• Der Host zählt, nicht der Gast. Wer nur die Kernel in seinen VMs aktualisiert, hat das Problem nicht gelöst. Der verwundbare Netzwerkpfad läuft auf dem Wirt.
• uname lügt manchmal. Distributionen portieren solche Fixes oft in ihre eigenen Kernel zurück, ohne die Versionsnummer zu ändern. Maßgeblich ist das Security Advisory der Distribution und die Frage, ob der laufende Kernel den Fix wirklich enthält. Stichwort: Commit 6785011f8b16.
• Neustart nicht vergessen. Ein installiertes Kernel-Paket schützt genau gar nichts, solange der alte Kernel weiterläuft.

Wer eigene KVM-Hosts mit virtio-net betreibt - das betrifft zum Beispiel viele Proxmox- und libvirt-Setups - sollte diese Woche einen Wartungstermin einplanen. Wer bei einem Hoster einen VPS mietet, sollte dort nachfragen, ob die Host-Systeme bereits gepatcht sind. Selbst tun kann man in dem Fall nämlich nichts.

Die Mauer ist nur so dick wie ihr dünnster Stein

Die eigentliche Lehre aus PwnEscape hat wenig mit Linux gegen Windows zu tun. Sie handelt von Vertrauen an der falschen Stelle. Der Kernel hat einem Paket geglaubt, das er zuvor geprüft hatte, und nicht bemerkt, dass sich das Paket zwischen Prüfung und Verwendung verändert hat. Das ist ein uraltes Muster, nur eben an einer Stelle, an der niemand nachgesehen hat.

Und jetzt kommt der Teil, der einen nachts wach halten kann: Diesmal hat ein Forscher mit KI-Unterstützung hingesehen, privat gemeldet, und Vercel hat dafür bezahlt. Die Werkzeuge, die er benutzt hat, stehen aber nicht nur ehrlichen Leuten zur Verfügung. Die nächste Lücke dieser neuen Klasse findet vielleicht jemand, der keine Bug-Bounty einreicht. Die Frage ist also nicht mehr, ob Linux sicherer ist als Windows. Die Frage ist, wer schneller patcht als die Maschinen suchen.

Quellen:

• The Hacker News – Critical PwnEscape Linux Kernel Flaw
• Vercel – Findings from the $1M Vercel Sandbox challenge
• CSO Online – Linux kernel gets a fix for a flaw that enabled attackers to escape VMs
• Cybernews – Critical Linux bug PwnEscape allows VM escape
• IT-Connect – PwnEscape: Linux Flaw Lets Attackers Escape a KVM VM
• GBHackers – Researchers Use AI to Discover Critical Linux Kernel Flaw
• SOC Prime – CVE-2026-99999 Analysis
• Daily Security Review – PwnEscape Lets Guest VMs Read Host Memory
• Let’s Data Science – pwn.ai Finds Linux Kernel VM Escape Flaw (AWS-Stellungnahme)

20.10.2026