Uma falha crítica recém-divulgada no kernel Linux permite que um código dentro de uma máquina virtual leia a memória do computador hospedeiro em que ela roda. Um pesquisador demonstrou o vazamento contra os sandboxes de nuvem em produção da Vercel, e a empresa confirmou.
A falha, agora identificada como CVE-2026-99999 (sigla de Vulnerabilidades e Exposições Comuns) e apelidada de PwnEscape, está no código de rede do kernel Linux, e não na configuração de nenhuma nuvem específica. Por isso ela atinge a camada compartilhada que os provedores de nuvem usam para manter as cargas de trabalho dos clientes separadas.
Ela foi encontrada em um desafio de segurança da Vercel e reportada de forma privada antes de qualquer divulgação pública. Não há indícios de que tenha sido usada em um ataque real.
O que o pesquisador demonstrou
Paulos Yibelo, da empresa de segurança pwn.ai, descobriu que pacotes de rede especialmente criados e enviados de dentro de uma máquina virtual podiam fazer três coisas, explicou ele em um relatório técnico: ler a memória do hospedeiro, derrubar o hospedeiro e executar código nele. As três ações decorrem da mesma falha no kernel.
A Vercel afirmou em seu relatório sobre o desafio que o vazamento de memória foi demonstrado contra seus sandboxes de produção. Cada pacote enviado pelo convidado podia trazer de volta cerca de 32 bytes da memória do hospedeiro, e o convidado podia continuar fazendo isso enquanto seguisse enviando pacotes.
A falha e a execução de código foram observadas apenas nas máquinas do próprio pesquisador, configuradas para replicar as da Vercel. Dois pacotes especialmente elaborados foram suficientes para derrubar um hospedeiro e deixar fora do ar todos os sandboxes que rodavam nele.
Usando a mesma falha, o pesquisador alcançou controle de administrador de um hospedeiro, escapando da máquina virtual. Ele ressaltou que se tratava de um resultado de laboratório, “não uma alegação de execução de comandos root em nenhum ambiente de produção de fornecedor”.
“Nossa pesquisa foi executada pelo Omega-Pwn, um arcabouço interno que combina nossas próprias ferramentas de pesquisa em segurança com elementos da arquitetura OmegaClaw, da SingularityNET. Ele nos permitiu manter hipóteses, rastros de código, tentativas fracassadas e resultados experimentais ao longo de sessões de pesquisa longas. O modelo GPT-5.6 Sol (sigla de Generative Pre-trained Transformer, ou Transformador Generativo Pré-treinado) foi o principal motor de raciocínio. Nós direcionamos a investigação, questionamos as conclusões dele e validamos as mais interessantes contra o comportamento real do kernel em sistemas que controlávamos”, afirmou Paulos Yibelo ao The Hacker News.
A Vercel disse que nenhum relatório do desafio mostrou alguém lendo arquivos, segredos ou dados de aplicações de clientes.
Gravidade e quem pode explorá-la
Os responsáveis pelo kernel atribuíram à falha o identificador CVE-2026-99999 e, no registro publicado, classificaram-na com nota 9,3 em 10, ou seja, crítica. O Banco Nacional de Vulnerabilidades dos EUA (NVD, sigla de National Vulnerability Database) havia recebido o registro, mas ainda não tinha concluído a própria análise.
O mesmo registro indica como vetor de ataque o acesso local. Em termos simples, o atacante precisa já estar executando código dentro de um convidado, como fez o pesquisador. Não se trata de uma falha que alguém de fora possa explorar enviando pacotes pela internet aberta.
Ela não consta do catálogo da CISA (Agência de Segurança Cibernética e de Infraestrutura dos EUA) de vulnerabilidades exploradas ativamente, e nenhum uso no mundo real foi relatado.
Por que atinge além da Vercel
O Vercel Sandbox executa o código de cada cliente em sua própria microVM Firecracker, uma pequena máquina virtual com cópia própria do kernel Linux, sobre servidores físicos dedicados da Amazon EC2 (sigla de Elastic Compute Cloud). Essa microVM é a barreira entre um cliente e o hospedeiro, e entre um cliente e outro.
A falha não está nessa barreira. Ela está no código de rede do kernel Linux, que o hospedeiro executa. A pwn.ai afirmou que o sandbox da Vercel já estava reforçado além dos padrões normais do setor, sem nenhuma configuração incorreta que o pesquisador pudesse encontrar.
Como quase todas as grandes nuvens separam as cargas de trabalho dos clientes na mesma camada do kernel Linux, a Vercel afirmou que uma falha nessa camada representa um risco para a infraestrutura compartilhada, e não para um único provedor.
A correção e as versões corrigidas
A correção é uma única alteração no kernel Linux, o commit 6785011f8b16, escrito por Michael S. Tsirkin, da Red Hat, e incorporado à linha principal do kernel. Ela acrescenta uma verificação para impedir que os dados de checksum de um pacote apontem para dentro do cabeçalho IPv4 (cabeçalho do protocolo de internet versão 4) antes que o kernel aja sobre ele, e aplica essa verificação em cinco pontos do código de rede.
A mudança é deliberadamente parcial. O autor a chama de “uma medida de defesa em profundidade” e observa que uma verificação mais ampla na entrada dos pacotes no kernel ainda precisa de trabalho.
Os responsáveis aplicaram a correção retroativamente às ramificações estáveis do kernel. De acordo com o registro da CVE, estas são as primeiras versões corrigidas em cada ramificação suportada:
As distribuições Linux distribuem seus próprios kernels e frequentemente incorporam esse tipo de correção sem alterar o número da versão. Por isso, verifique o aviso de segurança da sua distribuição e confirme se a correção está no kernel que o hospedeiro realmente executa, e não apenas no número exibido pelo comando uname.
O que fazer
Atualize o kernel do hospedeiro para uma das versões corrigidas acima, ou para a build do fornecedor que inclua a correção, e reinicie o sistema nela. Atualizar apenas o kernel de um convidado não corrige o hospedeiro. As fontes não trazem nenhuma solução alternativa específica para essa falha caso não seja possível atualizar agora.
Quando a aplicação da correção precisar esperar, o procedimento habitual é limitar o que uma invasão poderia alcançar. A Vercel disse que mantém os kernels dos hospedeiros atualizados, desativa a virtualização aninhada e executa cada microVM sob o jailer do Firecracker, que concede ao processo da microVM apenas as permissões de que ele precisa. Isso não corrige a falha, mas reduz o que um atacante que a explorasse conseguiria fazer.
Encontrada em um desafio de US$ 1 milhão
A falha foi encontrada em um desafio de duas semanas realizado pela Vercel em agosto, que ofereceu até US$ 1 milhão no total a quem conseguisse escapar de seu sandbox. Nenhum pagamento individual chegou a esse valor. A maior recompensa por relatório foi de US$ 50 mil; a Vercel pagou US$ 242 mil em 1.285 relatórios, e esta foi a única descoberta crítica.
A pwn.ai disse ter encontrado a falha em três dias com seu próprio sistema de pesquisa assistido por IA, com o modelo fazendo a análise do código-fonte e pesquisadores humanos direcionando o trabalho. A empresa estimou o custo em menos de US$ 700 em tokens de API (sigla de interface de programação de aplicações). Foi o caso mais recente de pesquisadores usando um grande modelo de linguagem para ajudar a encontrar e encadear falhas reais, depois de uma equipe separada ter usado um desses modelos no início deste ano para acessar sistemas internos da OpenAI.
