Vercel 沙箱内核零日漏洞公开，日本云厂商暂停新申请

Linux 内核 IPv4 网络栈漏洞 PwnEscape（CVE-2026-99999，cve.org 评分 9.3）可让虚拟机 guest 读取宿主内存，修复已于 2026-10-14 进入内核主线。该漏洞由研究者 Paulos Yibelo（PWNAI Research）在 Vercel 百万美元 Sandbox 挑战中提交，是 1285 份报告中唯一被认定的 Critical，Vercel 称宿主内存泄露已在自家生产沙箱演示。机制上，guest 经 virtio 提供校验和元数据，宿主延迟写回时未随以太网头跳过重新对齐，IPv4 头长度字段被改写后 32 字节越界读到的宿主内存以 IP options 形式发出；崩溃宿主与以 root 执行代码仅在研究者自有 KVM 和 Firecracker 环境演示。

Sakura Cloud 在应对 Linux 内核网络处理漏洞 CVE-2026-99999（PwnEscape）期间，自10月16日起暂停新建“项目”。已创建项目仍可使用，现有资源运行不受影响；申请さくらの専用サーバ PHY 或高火力PHY 若需新建项目则暂无法申请。相关维护将陆续实施，并计划提前一周通过注册邮箱通知受影响客户。

安全公司 pwn.ai 的研究者 Paulos Yibelo 披露 Linux 内核网络代码中的严重漏洞 CVE-2026-99999（代号 PwnEscape），可从虚拟机读取宿主机内存，该问题在 Vercel 生产沙箱上得到演示并经 Vercel 确认。每个数据包可带回约 32 字节宿主机内存，两个特制数据包即可使宿主机崩溃并拖垮其上的所有沙箱；崩溃与代码执行仅在研究者按 Vercel 配置搭建的机器上复现，研究者称这不是对任何厂商生产环境取得 root 命令执行的声明。修复为内核提交 6785011f8b16，作者称其属于纵深防御措施，已回移到 5.10.272、6.6.159、6.12.113 等稳定分支。CVE 记录评为 9.3 分（Critical），攻击向量为本地，攻击者需已在客户机内运行代码，尚无实际攻击报告。

pwn.ai 公开 CVE-2026-99999 的技术细节：Linux 内核 IPv4 校验和处理中的延迟写入可改写内核已校验过的 IPv4 头，研究者在自有 KVM 环境据此实现访客到宿主逃逸。根因是校验和元数据在完成前未与网络头边界比对，最初表现为每次 32 字节的宿主内存泄露，随后在自有测试环境演示了 64 字节内核写入，并经四次冷启动执行宿主 root 辅助程序。该研究在 Vercel 于 2026 年 8 月 18 日发起的 $1 million Sandbox 挑战期间完成，使用 pwn.ai 的 Omega-Pwn 研究框架，并以 GPT-5.6 Sol 作为主要推理引擎。上游修复 6785011f8b16 在五处 IPv4 校验和完成路径加入 ip_check_csum_start 校验，于 10 月 8 日进入 net.git。

Vercel 公布其 100 万美元 Vercel Sandbox 沙箱逃逸挑战结果，两周内收到 1285 份报告、支付 24.2 万美元赏金，最严重的是 Linux 内核网络栈的一个零日漏洞。研究者 Paulos Yibelo 从 microVM 内发送特制数据包，可向网络泄露宿主机内存、崩溃宿主机并以管理员权限在宿主机执行代码，Vercel 称已联合 AWS 等厂商优先修复，补丁仍在私下审查、CVE 待分配。Vercel 实习生还发现 device-mapper 存储层的跨租户数据泄露，可读取已删除沙箱的回收磁盘块。Trail of Bits 用四个工程师周提交 20 项发现，认为虚拟化边界可靠，并提出三条已落实的结构性建议。Vercel 称没有报告显示客户数据被读取。