**Desde Linux**
[PwnEscape: una vulnerabilidad que permite a máquinas virtuales atacar directamente al sistema anfitrión](https://blog.desdelinux.net/pwnescape-cve-2026-99999-vulnerabilidad-kernel-linux-kvm/)

[https://blog.desdelinux.net/wp-content/uploads/2026/10/pwnescape-Linux.png](https://blog.desdelinux.net/wp-content/uploads/2026/10/pwnescape-Linux.png) 
Hace poco se dio a conocer información importante sobre una vulnerabilidad crítica, catalogada como **CVE-2026-99999 y apodada «PwnEscape»,** en la pila de red IPv4 del kernel de Linux. El fallo **permite a un sistema invitado escapar de su aislamiento y acceder a la memoria del sistema anfitrión**, logrando finalmente la ejecución de código con privilegios de administrador (root).

El hallazgo fue** realizado como parte de un desafío de seguridad impulsado por Vercel**, en el cual un equipo de investigadores utilizó el arnés experimental Omega-Pwn asistido por el modelo de inteligencia artificial GPT-5.6 Sol. Aunque** la prueba de concepto se centró en un entorno virtualizado con KVM**, el origen del **problema reside nativamente en el procesamiento de red del kernel de Linux,** lo que potencialmente expone a otros hipervisores y plataformas de aislamiento. _Si bien la vulnerabilidad se originó en el kernel de Linux y no fue un fallo o configuración errónea específica de Vercel, Vercel merece un gran reconocimiento por cómo la gestionó. Actuaron con rapidez para proteger a sus clientes, iniciaron su propia investigación independiente, identificaron y notificaron a otros proveedores de hipervisores y entornos aislados afectados, y colaboraron estrechamente con nosotros para coordinar la divulgación y las correcciones en toda la industria_. **Sobre PwnEscape**

Los investigadores mencionan en su informe que el **núcleo de la vulnerabilidad es un problema semántico de «Tiempo de Comprobación a Tiempo de Uso»** (TOCTOU) **relacionado con el cálculo diferido de sumas de comprobación** en la estructura de paquetes.

Este error se aprovecha cuando un **paquete de red malicioso originado en el sistema invitado ingresa con la bandera CHECKSUM_PARTIAL y valores manipulados** en sus metadatos (skb->csum_start y skb->csum_offset), supera las validaciones iniciales de longitud asumiendo una cabecera legítima de 20 bytes. Sin embargo, durante el procesamiento de fragmentación de salida, la** escritura diferida de la suma de comprobación sobrescribe datos sobre la cabecera IPv4** que ya había sido validada. _La parte más interesante es el orden de las operaciones._ _El host ingress ve y analiza un paquete IPv4 con una cabecera ordinaria. El procesamiento de fragmentos y el enrutamiento pueden operar sobre ese estado. Posteriormente, la fragmentación de salida llega a la suma de verificación pendiente._ **Esto altera el primer byte del paquete** (pasando, por ejemplo, de 0x45 a 0x4f), lo que **engaña al núcleo del sistema haciéndole creer que el tamaño de la cabecera ha aumentado** repentinamente de 20 a 60 bytes.

Al procesar este nuevo tamaño falsificado de la cabecera, el **kernel copia 40 bytes adicionales fuera de la longitud lógica inicial. **De estos, 32 bytes corresponden a memoria confidencial del sistema anfitrión que queda fuera de los límites lógicos del búfer del paquete, los cuales son transmitidos de vuelta como parte de la sección de opciones IP. _Lo fundamental es que estos valores no son meros metadatos descriptivos . Autorizan una escritura posterior en la memoria del paquete. Si un software menos confiable puede influir en ellos, su validez debe mantenerse tras cada operación entre su admisión y su finalización._ **En el exploit desarrollado, esta fuga de información permitió** a los investigadore**s recrear la distribución de la memoria, eludir la protección** de aleatorización KASLR y configurar las condiciones exactas para sobrescribir 64 bytes de memoria de forma controlada, ejecutando código como root. Los detalles precisos de esta cadena de explotación se mantienen en privado para otorgar tiempo[...]