KVM должен жёстко отделять виртуальную машину от хоста, но недавно обнаруженная уязвимость CVE-2026-53359 ломала базовую модель безопасности. Root внутри гостевой системы хватало, чтобы вызвать панику ядра физического сервера и отключить все работающие на нём виртуальные машины.
Причина банальна. Гипервизор сверял адрес страницы, но не проверял, для чего страница предназначена, и в итоге работал с освобождённой памятью. Публичная атака пока ограничена отказом в обслуживании, однако автор заявил о закрытом варианте с root-доступом к хосту.
Рекомендации следующие: не считайте права root внутри гостя безопасной границей. Установите исправленное ядро или отключите вложенную виртуализацию. Особенно срочно проверьте облачные и хостинговые площадки с недоверенными клиентами. Исправленные стабильные ядра: 7.1.3, 6.18.38, 6.12.95, 6.6.144, 6.1.177, 5.15.211 и 5.10.260.