PwnEscape Açığı: Sanal Makineden Host Belleğine Sızıntı

Linux çekirdeğinde keşfedilen kritik bir açık, sanal makine içindeki kodun çalıştığı ana bilgisayarın belleğini okumasına imkan verdi. CVE-2026-99999 olarak izlenen ve PwnEscape adı verilen açık, Vercel'in canlı bulut sandbox'larına karşı gösterildi ve şirket tarafından doğrulandı. Açık, tek bir bulut sağlayıcının yapılandırmasında değil, Linux çekirdeğinin ağ kodunda yer aldığı için müşterilerin iş yüklerini birbirinden ayırmak için kullanılan ortak katmanı etkiliyor. Açık, kamuya duyurulmadan önce özel olarak bildirildi ve gerçek bir saldırıda kullanıldığına dair bir iz bulunmuyor.

Araştırmacının Gösterdiği Üç Etki​

Güvenlik firması pwn.ai'den Paulos Yibelo, teknik yazısında sanal makine içinden gönderilen özel hazırlanmış ağ paketlerinin aynı çekirdek hatasından kaynaklanan üç sonuca yol açabildiğini anlattı: host belleğini okumak, host'u çökertmek ve host üzerinde kod çalıştırmak. Vercel, yarışmaya ilişkin raporunda bellek sızıntısının üretim sandbox'larına karşı gösterildiğini belirtti.
Rapora göre konuğun gönderdiği her paket, host belleğinden yaklaşık 32 bayt veriyi geri taşıyabildi ve konuk paket göndermeye devam ettiği sürece okumayı sürdürebildi. Çökme ve kod çalıştırma ise yalnızca araştırmacının Vercel ortamını taklit edecek şekilde kurduğu kendi makinelerinde gözlemlendi. İki özel paket host'u çökertmeye ve üzerinde çalışan tüm sandbox'ları devre dışı bırakmaya yetti. Aynı açıktan yararlanarak araştırmacı host üzerinde yönetici kontrolüne ulaştı ve sanal makineden kaçış sağladı. Yibelo, bunun bir laboratuvar sonucu olduğunu vurgulayarak "herhangi bir sağlayıcının üretim ortamında root komut çalıştırma iddiası değil" ifadesini kullandı.
Yibelo, çalışmanın nasıl yürütüldüğünü The Hacker News'e şu sözlerle anlattı: "Araştırmamız, kendi güvenlik araştırma araçlarımızı SingularityNET'in OmegaClaw mimarisinin unsurlarıyla birleştiren dahili bir kablo demeti olan Omega-Pwn üzerinden yürütüldü. Bu yapı, hipotezleri, kod izlerini, başarısız denemeleri ve deneysel sonuçları uzun süren araştırma oturumları boyunca taşımamıza olanak tanıdı. GPT-5.6 Sol birincil muhakeme motoruydu. Soruşturmayı biz yönetti, bulgularını sorguladı ve ilginç olanları kontrol ettiğimiz sistemlerdeki gerçek çekirdek davranışına karşı doğruladı." Vercel, yarışma kapsamında hiçbir raporda müşteri dosyalarının, gizli bilgilerinin veya uygulama verilerinin okunduğunun gösterilmediğini bildirdi.

Açık Neden Tek Bir Sağlayıcıyı Aşıyor​

Vercel Sandbox, her müşterinin kodunu çıplak metal Amazon EC2 host'ları üzerinde kendi Linux çekirdek kopyasına sahip küçük bir sanal makine olan Firecracker microVM içinde çalıştırıyor. Bu microVM, bir müşteri ile host ve bir müşteri ile diğeri arasındaki duvar işlevini görüyor. Ancak açık bu duvarda değil, host'un çalıştırdığı Linux çekirdeğinin ağ kodunda bulunuyor.
pwn.ai, Vercel sandbox'ının normal endüstri standartlarının ötesinde sertleştirildiğini ve bulabildiği bir yanlış yapılandırma olmadığını söyledi. Vercel de neredeyse tüm büyük bulutların müşteri iş yüklerini Linux çekirdeğinin aynı katmanında ayırdığını, bu nedenle buradaki bir açığın tek bir sağlayıcıdan ziyade paylaşılan altyapı için risk oluşturduğunu belirtti.

Ne Kadar Ciddi ve Nasıl Tetikleniyor​

Çekirdek bakımcıları açığa CVE-2026-99999 numarasını verdi ve yayımlanan kayıtta 10 üzerinden 9,3 puanla Kritik olarak derecelendirdi. ABD Ulusal Güvenlik Açığı Veritabanı bu kaydı almış ancak kendi incelemesini henüz tamamlamamıştı. Aynı kayıt saldırı vektörünü yerel olarak listeliyor. Açık ifadeyle, saldırganın araştırmacıda olduğu gibi zaten bir konuk içinde kod çalıştırıyor olması gerekiyor. Bu, dışarıdan açık internet üzerinden paket göndererek sömürülebilecek bir açık değil. Açık, CISA'nın aktif olarak sömürülen güvenlik açıkları kataloğunda yer almıyor ve gerçek dünyada kullanıldığı rapor edilmedi.

Düzeltme ve Düzeltilen Sürümler​

Düzeltme, Red Hat'ten Michael S. Tsirkin tarafından yazılan ve ana çekirdek dalına birleştirilen tek bir Linux çekirdek değişikliği olan 6785011f8b16 numaralı commit ile geldi. Değişiklik, çekirdek harekete geçmeden önce bir paketin sağlama toplamı verilerinin IPv4 başlığına işaret edemeyeceğini kontrol eden bir denetimi ekliyor ve bu denetimi ağ kodunda beş noktada uyguluyor.
Değişiklik bilinçli olarak kısmi bırakıldı. Yazarı bunu "derinlemesine savunma önlemi" olarak nitelendiriyor ve paketlerin çekirdeğe giriş yoluna ilişkin daha kapsamlı bir denetimin hala yapılması gerektiğini belirtiyor. Bakımcılar düzeltmeyi kararlı çekirdek dallarına geri taşıdı. CVE kaydına göre her desteklenen dalda ilk düzeltilen sürümler şöyle:

• 5.10 dalında 5.10.272
• 5.15 dalında 5.15.223
• 6.1 dalında 6.1.190
• 6.6 dalında 6.6.159
• 6.12 dalında 6.12.113
• 6.18 dalında 6.18.57
• 7.2 dalında 7.2.11

\nLinux dağıtımları kendi çekirdeklerini sunar ve çoğu zaman bu tür düzeltmeleri sürüm numarasını değiştirmeden ekler. Bu nedenle yalnızca uname çıktısındaki numaraya değil, dağıtımın duyurusuna ve düzeltmenin host'un gerçekten çalıştırdığı çekirdekte olup olmadığına bakılması gerekiyor.

Ne Yapılmalı ve Yarışmanın Detayları​

Kaynaklara göre yapılması gereken, host çekirdeğini yukarıdaki düzeltilen sürümlerden birine veya düzeltmeyi içeren sağlayıcı yapısına güncellemek ve bu çekirdekle yeniden başlatmak. Yalnızca konuğun çekirdeğini güncellemek host'u düzeltmiyor. Kaynaklar, henüz güncelleme yapılamıyorsa bu açığa özel ayrı bir geçici çözüm vermiyor. Yama beklerken atılacak olağan adım, bir sızmanın erişebileceği alanı sınırlamak.
Vercel, host çekirdeklerini güncel tuttuğunu, iç içe sanallaştırmayı devre dışı bıraktığını ve her microVM'i Firecracker'ın jailer'ı altında çalıştırdığını, bu sayede microVM sürecine yalnızca ihtiyaç duyduğu izinlerin verildiğini belirtti. Bunun açığı düzeltmediği ancak açığı kullanan bir saldırganın yapabileceklerini daralttığı kaydedildi.
Açık, Vercel'in ağustos ayında düzenlediği ve sandbox'ından kaçmayı başaranlara toplamda 1 milyon dolara kadar ödül vadettiği iki haftalık yarışmada bulundu. Tek bir ödemede bu rakama ulaşılmadı. Rapor başına en yüksek ödül 50 bin dolar oldu; Vercel 1.285 rapor için toplam 242 bin dolar ödedi ve bu açık yarışmadaki tek Kritik bulgu olarak kayıtlara geçti. pwn.ai, açığı kendi yapay zeka destekli araştırma sistemiyle üç günde bulduğunu, modelin kaynak kod analizini yaptığını ve insan araştırmacıların çalışmayı yönlendirdiğini açıkladı. Firma maliyetin API jetonlarında 700 doların altında kaldığını belirtti. Bu, bu yıl başında ayrı bir ekibin OpenAI iç sistemlerine ulaşmak için büyük bir dil modelini kullanmasının ardından, araştırmacıların gerçek açıkları bulmak ve zincirlemek için büyük dil modellerinden yararlandığı son örnek oldu.

Sıkça Sorulan Sorular​

PwnEscape açığı nedir ve neye yol açıyor?​

PwnEscape olarak adlandırılan ve CVE-2026-99999 ile izlenen açık, Linux çekirdeğinin ağ kodunda bulunuyor. Sanal makine içinden gönderilen özel ağ paketleri host belleğini okumaya, host'u çökertmeye ve host üzerinde kod çalıştırmaya yol açabiliyor. Bellek sızıntısı Vercel'in canlı sandbox'larında gösterildi, çökme ve kod çalıştırma ise yalnızca araştırmacının kendi laboratuvar makinelerinde gözlemlendi.

Açığı kim buldu ve nasıl gösterdi?​

Açığı güvenlik firması pwn.ai'den Paulos Yibelo buldu. Yibelo, her paketin host belleğinden yaklaşık 32 bayt taşıyabildiğini, iki özel paketin host'u çökerterek üzerindeki tüm sandbox'ları durdurabildiğini ve aynı hatayla host'ta yönetici kontrolüne ulaşılabildiğini aktardı. Çalışmada Omega-Pwn adlı dahili kablo demeti ve birincil muhakeme motoru olarak GPT-5.6 Sol kullanıldı, doğrulamalar araştırmacının kontrolündeki sistemlerde yapıldı.

Açık ne kadar ciddi ve uzaktan sömürülebilir mi?​

CVE kaydında açık 10 üzerinden 9,3 puanla Kritik olarak derecelendirildi. Saldırı vektörü yerel olarak listeleniyor; yani saldırganın zaten konuk içinde kod çalıştırıyor olması gerekiyor. Açık internet üzerinden dışarıdan paket göndererek sömürülebilen bir açık değil, CISA'nın aktif sömürülen açıklar kataloğunda yer almıyor ve gerçek dünyada kullanıldığına dair bir rapor bulunmuyor.

Düzeltme nedir ve hangi sürümler düzeltilmiş sayılıyor?​

Düzeltme, Michael S. Tsirkin tarafından yazılan 6785011f8b16 numaralı commit ile geldi ve paketin sağlama toplamı verilerinin IPv4 başlığına işaret edemeyeceğini beş noktada denetliyor. Yazar düzeltmeyi derinlemesine savunma önlemi olarak tanımlıyor. CVE kaydına göre ilk düzeltilen sürümler 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.57 ve 7.2.11 olarak sıralanıyor.

Kullanıcılar ve kurumlar ne yapmalı?​

Host çekirdeğinin düzeltilen sürümlerden birine veya düzeltmeyi içeren dağıtım yapısına güncellenip yeniden başlatılması gerekiyor; yalnızca konuk çekirdeğini güncellemek host'u korumuyor. Kaynaklarda bu açığa özel ayrı bir geçici çözüm yer almıyor. Vercel, host çekirdeklerini güncel tutmak, iç içe sanallaştırmayı devre dışı bırakmak ve Firecracker jailer ile izinleri sınırlamak gibi daraltıcı önlemler uyguladığını belirtiyor.