Linuxカーネルの仮想化脱出CVE-2026-99999と国内サーバー対応

TL;DR

---

Linuxカーネルのネットワーク処理に、CVSS基本値9.3（NIST）の深刻な脆弱性CVE-2026-99999（通称PwnEscape）が公開された。
仮想マシンのゲスト環境から親側のホストOSを攻撃できるKVM脱出につながるため、クラウドやホスティングサービス各社で影響の確認が行われている。
国内ではさくらインターネットが2026年10月16日にアナウンスを出し、VPSだけでなく共用レンタルサーバーの新規受付まで一時停止した。

IPv4チェックサム検証不備によるゲスト脱出の仕組み

クラウドやVPSなどの仮想化環境では、物理サーバー（ホスト）の上で複数の仮想マシン（ゲスト）が動作している。
通常はハイパーバイザによって各ゲスト環境が互いに隔離されているが、今回はその境界を抜けてホスト側を不正に操作される恐れがある。

原因は、Linuxカーネル内のIPv4通信処理におけるチェックサム位置情報の検証不備にある。
ネットワークパケットに含まれる checksum_start の範囲確認が不十分なため、カーネル内の補助関数 skb_checksum_help() が境界外のメモリを意図せず上書きしてしまう。

セキュリティ企業pwn.aiの研究者は、隔離されたKVMテスト環境において、細工したIPv4パケットを送信することでホストメモリの漏洩やホストのクラッシュ（DoS）を引き起こせることを確認した。
さらにメモリ配置の操作を組み合わせることで、ホストのroot権限でコードを実行できることも実証している。
現時点で実環境での悪用事例は報告されていないが、ゲスト側からホストOSのカーネルメモリを直接破壊できるため影響が大きい。
以前扱った NVIDIA Container ToolkitのCVE-2024-0132 はファイルシステム経由でコンテナ分離を抜ける問題だったが、今回はネットワーク処理そのものが仮想マシンからホストへ抜ける経路になっている。

さくらインターネットの新規受付停止と影響

2026年10月16日、さくらインターネットは「Linuxカーネルの脆弱性（CVE-2026-99999）に関する当社サービスへの影響について」を公開した。
影響調査と対策を進めるため、さくらのVPS全プラン、さくらのレンタルサーバ（全プラン）、さくらのマネージドサーバで新規申し込み受付を一時停止している。
さくらのクラウドでも管理単位のプロジェクト新規作成を止めた。
既存契約のサーバーは通常通り稼働しているが、今後の対応としてホストメンテナンスを行う可能性があると案内されている。

公式発表に詳しい理由は記載されていないが、新規契約アカウントからの悪用を防ぎ、基盤ホストの安全確認を終えるまでの予防措置と思われる。
VPSやクラウド環境は契約者が管理者権限を持ち、任意のパケット送信やカスタムカーネルの起動ができるため、攻撃の足がかりになりやすい。
一方、Dockerでレンタルサーバー環境を再現した記事 にあるように、共用レンタルサーバーでは一般ユーザーに管理者権限がなく、パケットを細工する権限も制限されている。
それでも共用サーバーまで新規受付を止めた点から、基盤側の調査と安全確保を最優先にした対応とみられる。

国内各サービスの状況と利用者の対応

2026年10月16日時点で確認できた範囲では、エックスサーバーやConoHa、ロリポップなど他の国内主要事業者において、さくらインターネットのような新規受付停止を伴う告知は出ていない。
今回の問題はホストOS側のカーネルが原因のため、利用者の対応はサービス形態ごとに異なる。

サービス形態	代表例	影響と利用者の対応
共用レンタルサーバー	さくらのレンタルサーバ、エックスサーバー、ロリポップ	ホストOSの管理は事業者側にある。利用者が個別に行う作業はなく、事業者が基盤側で実施する調査やメンテナンス案内を確認
VPS・クラウド	さくらのVPS、ConoHa VPS、さくらのクラウド	ホスト側の保護は事業者が行う。ホスト側の問題なのでゲストVMのカーネル更新だけでは解消せず、事業者のホストメンテナンス告知を確認
専用サーバー	さくらの専用サーバ PHY、ベアメタル環境	利用者自身がOSとカーネルを管理するため、Red HatやUbuntuなど各OSディストリビューションの公式セキュリティ情報を確認し、修正パッケージを適用して再起動

なお、VPSや共用レンタルサーバーの契約者がゲスト環境内でカーネルを更新しても、基盤ホスト側の脆弱性は解消されない。自身で物理サーバーやホストOSを直接運用している環境のみが対象となる。
ConoHa VPSのセットアップ記事 のように自分でOSを管理している環境で修正パッケージを適用する場合は、パッケージマネージャーから更新できる。
Ubuntu環境であれば sudo apt update && sudo apt --only-upgrade install linux-image-generic、AlmaLinuxやRocky Linuxであれば sudo dnf update kernel を実行して再起動すると、新しいカーネルが反映される。