AKTUELL
PwnEscape: Linux 7.3 enthält Korrektur gegen Ausbruch aus virtuellen Maschinen
Virtuelle Maschinen sollen Programme und ganze Betriebssysteme vom Rechner darunter abschirmen. Die Linux-Sicherheitslücke PwnEscape kann diese Grenze verletzen: Präparierter Netzwerkverkehr aus einer Gastumgebung kann den Speicher des Hostsystems offenlegen oder dessen Betrieb stören. Das am 18. Oktober veröffentlichte Linux 7.3enthält eine Korrektur. Für mehrere ältere Kernelreihen und Linux-Distributionen stehen ebenfalls Sicherheitsupdates bereit.
Besonders relevant ist das für Betreiber, die fremden oder nicht vertrauenswürdigen Code in virtuellen Maschinen ausführen, etwa auf Hostingplattformen und in Entwicklungsumgebungen. Entscheidend ist der Patchstand des darunterliegenden Linux-Hosts. Ein aktualisiertes Betriebssystem innerhalb der virtuellen Maschine allein beseitigt eine Schwachstelle dieses Hosts nicht.
Wie PwnEscape die Abschirmung durchbricht
Die unter CVE-2026-99999 erfasste Lücke sitzt im IPv4-Netzwerkcode des Linux-Kernels. Über bestimmte virtuelle Netzwerkschnittstellen kann eine Gastumgebung Angaben dazu mitliefern, wo eine Prüfsumme im Datenpaket berechnet und eingetragen werden soll. Solche ausgelagerten Arbeiten sind ein regulärer Bestandteil der Netzwerkverarbeitung.
Problematisch wird es, wenn diese Zusatzangaben fehlerhaft sind. Der Host kann dadurch beim späteren Eintragen der Prüfsumme einen Teil des Paketkopfs überschreiben, den er zuvor bereits geprüft hat. Nachfolgende Verarbeitungsschritte verlassen sich dann auf veränderte Angaben. Die eingespielte Kernel-Korrektur prüft deshalb vor dieser Operation, ob die angegebene Position hinter dem IPv4-Kopf liegt.
Für die Einordnung zählt die betroffene Schutzgrenze. Auch bei Sandbox-Lücken in Firefox geht es darum, welche Ressourcen ein abgeschirmter Prozess erreichen kann. PwnEscape betrifft die Grenze zwischen einem Gastsystem und dem Host, der gegebenenfalls weitere virtuelle Maschinen anderer Nutzer betreibt.
Was im Labor nachgewiesen wurde
Der Sicherheitsforscher Paulos Yibelo beschreibt in der Originalveröffentlichung von pwn.ai zunächst ein wiederholbares Auslesen von Hostspeicher. In einer eigenen kontrollierten KVM-Umgebung gelang dem Forschungsteam nach seinen Angaben außerdem eine Angriffskette bis zur Ausführung eines Programms mit Administratorrechten auf dem Host.
Diese Abstufung ist wesentlich: Ein Speicherleck, ein Absturz und die vollständige Übernahme eines Hosts sind unterschiedliche Ergebnisse. Der veröffentlichte Forschungsbericht trennt diese Nachweise und bezeichnet den vollständigen Ausbruch ausdrücklich als Laborergebnis auf eigenen Systemen. Daraus folgt keine belegte Übernahme fremder Produktionsserver.
AWS bestätigt für betroffene KVM-Konfigurationen die Möglichkeit einer Offenlegung von Hostspeicher oder einer Dienststörung. Als Angriffsweg nennt das Unternehmen virtuelle Netzwerkanbindungen über virtio-net und TAP. Welche Voraussetzungen ein Angreifer innerhalb der Gastumgebung benötigt, muss deshalb anhand der jeweiligen Plattform beurteilt werden. Die Meldung beschreibt keinen gewöhnlichen Angriff allein durch den Besuch einer Webseite. Grundlage ist das AWS-Sicherheitsbulletin.
Welche Kernel bereits korrigiert sind
Der offizielle Linux-CVE-Datensatz führt neben Linux 7.3 die korrigierten Versionen 7.2.11, 6.18.57, 6.12.113, 6.6.159, 6.1.190, 5.15.223 und 5.10.272 auf. Die Updates für diese älteren Reihen wurden bereits am 15. Oktober veröffentlicht. Der Fehler und die ersten Korrekturen sind damit älter als die neue Hauptversion.
Für eine Distribution ist allerdings deren eigener Sicherheitsstand maßgeblich. Anbieter übernehmen Korrekturen häufig in ihre bestehenden Kernelpakete, ohne auf eine neue Hauptversion zu wechseln. Eine vermeintlich niedrigere Versionsnummer bedeutet deshalb nicht automatisch, dass der Schutz fehlt.
Der Debian-Sicherheitstracker kennzeichnet zum Recherchezeitpunkt das Quellpaket linux in Version 6.1.190-1 für Debian 12 und 6.12.113-1 für Debian 13 aus den jeweiligen Sicherheitsquellen als korrigiert. Wer Debian einsetzt, kann sich somit an den für seine Ausgabe bereitgestellten Sicherheitsupdates orientieren. Ein Wechsel auf Linux 7.3 ist dafür nicht erforderlich.
Was Betreiber jetzt prüfen sollten
Für selbst verwaltete Virtualisierungshosts empfiehlt AWS in seinem Sicherheitsbulletin, die korrigierten Kernelpakete einzuspielen und das Hostsystem neu zu starten. Bei anderen Distributionen verweist das Unternehmen auf die Updates des jeweiligen Betriebssystemanbieters. Einen allgemeinen Workaround nennt AWS nicht.
Ein Neustart des Hosts kann alle darauf laufenden virtuellen Maschinen unterbrechen. Betreiber müssen die Aktualisierung daher mit der Verlagerung oder dem geordneten Herunterfahren ihrer Gäste abstimmen. Anschließend zählt, ob tatsächlich der korrigierte Kernel läuft; ein lediglich installiertes Paket genügt dafür noch nicht.
AWS erklärt zugleich, dass seine verwalteten Dienste Amazon EC2, Lambda und Fargate nicht betroffen seien und deren Kunden deswegen nichts unternehmen müssten. Diese Aussage gilt für die genannten Dienste. Wer auf einer gemieteten Maschine selbst weitere virtuelle Maschinen betreibt, sollte die eigene Virtualisierungsebene gesondert prüfen.
Die Korrektur schützt eine konkrete Grenze
Die Linux-Entwickler bezeichnen die Änderung als zusätzliche Absicherung und kündigen weitergehende Prüfungen eingehender Paketdaten an. Die verfügbare Korrektur ist damit ein konkreter Schutz gegen den beschriebenen Fehler; sie ersetzt keine fortlaufende Pflege des Hosts.
Für Nutzer in Deutschland und der EU ergibt sich dieselbe praktische Unterscheidung wie anderswo: Bei einem vollständig verwalteten Dienst ist die Sicherheitsinformation des Anbieters maßgeblich. Wer den Virtualisierungshost selbst betreibt, muss dessen Kernelstand prüfen und verfügbare Korrekturen aktivieren. Der Standort des Servers verändert die technische Schwachstelle nicht.
Stand der Recherche: 19. Oktober 2026, 18:39 Uhr MESZ.
Hauptquellen
- Linux-CVE-Team: Offizieller Datensatz zu CVE-2026-99999
- Linux: Korrektur der IPv4-Prüfsummenverarbeitung
- pwn.ai: Forschungsbericht zu PwnEscape
- Debian: Betroffene und korrigierte Kernelpakete
- AWS: Sicherheitsbulletin zu betroffenen Virtualisierungshosts
Transparenzhinweis: Der Beitrag beruht auf dem Forschungsbericht, dem veröffentlichten Linux-Patch und offiziellen Sicherheitsinformationen. gadgetChecks hat die Schwachstelle nicht selbst reproduziert und die Korrekturen nicht in einer eigenen Testumgebung überprüft.
Technik-Deals im Überblick
Ausgewählte Angebote und zeitlich begrenzte Preisaktionen rund um Technik und Gadgets.
Mehr auf gadgetChecks
Entdecke mehr bei gadgetChecks
gadgetChecks Technik
Tests, Kaufberatung, Technik-News, Ratgeber, Streaming und aktuelle Angebote.
Technikmagazin öffnenWas sich für dich ändert
Regeln, Fristen, Kosten und Warnungen mit ihren konkreten Folgen für Verbraucher.
Alltag Aktuell öffnenGames, Plattformen und Deals
Aktuelle Meldungen zu Releases, Konsolen, PC Gaming, Mobile, Studios und Abos.
Gaming öffnenProdukte, Angebote und Ideen
Neues für Küche, Reinigung, Wohnen, Garten und Balkon – verständlich und praktisch eingeordnet.
Zuhause öffnenPflege, Kosmetik und Geräte
Produkte und Wissen für Frauen und Männer – ehrlich getestet und verständlich eingeordnet.
Gepflegt öffnenTraining, Ernährung und Supplements
Sport, Ausrüstung und Nahrungsergänzung – verständlich erklärt und kritisch eingeordnet.
Sport & Supplements öffnen
