Уязвимость CVE-2026-99999 получила 9,3 балла по CVSS v3.1. Исследователь Паулос Йибело обнаружил способ читать память физического сервера через гостевую систему. На инфраструктуре Vercel удалось извлекать примерно 32 байта за пакет, а в лаборатории подтвердили возможность получить права root.
Ошибка находилась в сетевом стеке Linux, а не в гипервизоре KVM. При обработке IPv4 ядро могло изменить уже проверенный заголовок пакета, открывая доступ к посторонним областям памяти. Под угрозой оказались облачные платформы, VPS-хостинги и песочницы для запуска недоверенного кода.
Для защиты виртуальной инфраструктуры требуется исправить ядро физического сервера. Разработчики уже выпустили патчи для поддерживаемых веток Linux. Администраторам рекомендуется проверить обновления дистрибутива и загрузить исправленное ядро.