PwnEscape (CVE-2026-99999)、さくらのクラウドがプロジェクト作成再開、自社管理KVMは更新と再起動を

この記事は約6分で読めます。

さくらのクラウドは2026年10月20日、Linuxカーネルの脆弱性CVE-2026-99999 (通称PwnEscape) への対応で停止していた新規プロジェクトの作成を再開しました。各機能は通常どおり利用できますが、関連するメンテナンスは順次実施すると案内しています。

本件は、ゲスト仮想マシン側からホストのメモリー破壊などを引き起こせる問題です。クラウドサービスを利用している場合は事業者の案内を確認し、KVMなどを自社で管理している場合は、修正済みカーネルの適用とホストの再起動を進めてください。

ゲストとホストの境界に関わる脆弱性

Linuxが登録したCVEレコードは、IPv4のチェックサム処理における検証不備を説明しています。CVE採番機関 (CNA) であるLinuxによるCVSS v3.1の評価は9.3 (Critical)です。CISAがCVEレコードへ追加した情報 (ADP Vulnrichment) ではCWE-20 (不適切な入力検証)に分類されています。

同レコードの評価シナリオでは、microVMがvirtio-net経由で送った不正なメタデータをホスト側で処理することで、ホストのメモリー漏えい、クラッシュ、管理者権限でのコード実行を再現したとしています。評価上の攻撃元は、ローカルの仮想デバイス経路 (AV:L)です。インターネットから通常のパケットを送れば直ちにホストを乗っ取れる、という説明ではありません。

このmicroVMシナリオでは、ホストの認証情報がなくても、割り当てられた仮想インターフェースから送信できるワークロードであれば攻撃が成立するとしています。一方、AWSが10月15日10:30 (PDT、日本時間10月16日02:30)に公開した告知は、ゲスト内の特権アクセスを持つ攻撃者によるホストメモリーの漏えいやサービス妨害を説明しています。CVEレコードとAWS告知では、攻撃者に想定する権限と、記載している影響の範囲が異なります。

CVEレコードは10月15日12:19 UTC (日本時間21:19)に公開され、10月19日21:19 UTC (日本時間10月20日06:19)に更新されています。

研究で再現されたことと、実際の攻撃被害が確認されたことは別の話です。CISAの10月16日時点のSSVC評価は悪用状況を「none」とし、10月20日に確認したKEVカタログにも本CVEの掲載はありません。ただし、実悪用が存在しないことの証明ではありません。公開PoCの有無は、今回の確認範囲では確定していません。

さくらのクラウドはプロジェクト作成を再開、メンテナンスは継続

さくらのクラウドの公式告知では、10月19日にメンテナンス予定を追記し、10月20日にプロジェクト作成制限の解除を反映しています。

対象の利用者には、メンテナンス実施日の1週間前を目途に、登録メールアドレスへ日時や影響の詳細を案内する予定です。利用者は公式告知と個別通知を確認してください。告知は、すべてのホストで対処が完了したとは案内しておらず、メンテナンスは今後順次実施するとしています。

AWSの管理サービスと、自社管理KVMを分けて確認する

AWSは、Amazon EC2、AWS Lambda、AWS Fargateを含むAWS管理のコンピューティング・コンテナーサービスは本件の影響を受けず、それらのサービスを利用する顧客の対応は不要としています。

一方、影響を受ける未修正のLinuxカーネル上で、KVMとvirtio-netを使う仮想マシンを自社管理している環境は確認が必要です。AWSはFirecrackerなどの仮想マシンモニターも例に挙げ、Amazon Linuxのホストについてカーネル更新と再起動を求めています。AWS上でも自社でKVMやFirecrackerを動かしている場合は、管理サービスの案内とは別に、自社管理ホストへの対応を確認してください。

利用形態 今回の確認・対応
さくらのクラウド利用者 プロジェクト作成は再開。メンテナンスの個別通知と公式更新を確認
AWS管理のEC2・Lambda・Fargate AWSは管理サービスとして影響なし、顧客の対応不要と案内
KVM・virtio-netを使う自社管理ホスト OSベンダーの修正カーネルを適用し、ホストを再起動

修正版は上流の数字だけで判断しない

LinuxのCVEレコードは、上流系列の修正版として5.10.272、5.15.223、6.1.190、6.6.159、6.12.113、6.18.57、7.2.11、7.3を挙げています。一方、ディストリビューションでは既存の版へ修正を取り込むバックポートが行われるため、これより小さなバージョン番号でも修正済みの場合があります。

たとえばAWSは、Amazon Linux 2023の修正版として次のパッケージ以降を案内しています。実際の更新は、利用系列に対応するOSベンダーのセキュリティ告知に従ってください。

  • kernel-6.1.188-233.385.amzn2023
  • kernel6.12-6.12.110-135.201.amzn2023
  • kernel6.18-6.18.51-120.162.amzn2023

Amazon Linux 2についても、AWSは次の修正版以降を案内しています。該当する自社管理KVMホストでは、移行計画を待たずに更新と再起動を進めてください。

  • kernel-4.14.355-287.750.amzn2
  • kernel-5.4.302-229.494.amzn2
  • kernel-5.10.269-270.1108.amzn2
  • kernel-5.15.220-156.256.amzn2

AWS告知は、未修正の4.4～6.18を対象として説明しています。一方、LinuxのCVEレコードは2.6.27以降を対象とし、6.18より新しい7.2系列は7.2.11で修正されています。7.3も上流の修正を含む版として記載されています。AWSの記載範囲だけで影響の有無を判断せず、OSごとの修正状況を確認してください。

AWSは回避策はないとし、更新パッケージの適用とホストの再起動を求めています。運用上は、再起動後に稼働中のカーネルが修正版に切り替わっているかも確認してください。

ただし、AWSのリリースノートは、Amazon Linux 2が2026年6月30日にEOLを迎えたと明記し、Amazon Linux 2023への早期移行を強く推奨しています。更新とあわせて移行を計画してください。今回の修正提供を、旧OSの保守期限の延長と読み替えないようにしてください。

KVMの隔離に関わる別の問題については、ZapScape CVE-2026-64561の記事でも扱っています。本件とは別の脆弱性です。

参考情報

本記事は2026年10月20日時点で確認できた情報に基づきます。利用中のサービスへの影響は、各事業者の最新案内を確認してください。

コメント

タイトルとURLをコピーしました