Vercel потвърди zero-day уязвимост в KVM, след като изследователят по сигурност Paulos Yibelo докладва за пълно излизане от виртуална машина (VM escape), което според него позволява на код в гостуващата система да получи root достъп до хоста.
Откритието бе направено чрез програмата за откриване на уязвимости (bug bounty) на Vercel Sandbox, което повдига притеснения относно границата за сигурност, използвана за изолиране на ненадеждни работни товари и AI агенти.
Yibelo обяви откритието си на 3 октомври 2026 г., описвайки го като „Full VM escape zeroday“, включващ „guest>host root“ в индустриални стандартизирани хипервизори. Изпълнителният директор на Vercel Guillermo Rauch отделно потвърди zero-day уязвимостта в KVM и заяви, че предстои пълен технически доклад. Нито едно от изявленията не обясни веригата от уязвимости (exploit chain) и не идентифицира засегнатите версии.
KVM Zero-Day VM Escape
Уведомлението за възнаграждение, споделено с анонса, показва, че Vercel дава на Yibelo $50 000 — максималното плащане по програмата за един доклад. В съобщението се посочва, че най-високата награда е резервирана за уязвимости, които позволяват на атакуващ да чете или променя информацията на друг клиент на Vercel. Нейната критична категория включва излизане от microVM към EC2 хост и достъп до данните на друг клиент или изпълнение на код.
Въпреки това, това описание на наградата не трябва да се третира като публична демонстрация на кражба на данни на клиенти. Снимката на екрана скрива първопричината от доклада, а наличните изявления не потвърждават, че е имало достъп до реална клиентска информация.
Предизвикателството Sandbox на Vercel за 1 милион долара започна на 18 август 2026 г. с планиран краен срок 1 септември. Публикуваните му правила изискват доказателство за концепцията (proof of concept) на живо, показващо нарушена граница на сигурност, а не доклад, базиран само на преглед на кода.
KVM, съкратено от Kernel-based Virtual Machine, осигурява Linux виртуализация. Гостуваща виртуална машина трябва да остане изолирана от хоста, който я управлява. Успешното излизане от гостуващата система към хоста (guest-to-host escape) нарушава тази изолация; root достъпът дава на атакуващия най-високото ниво на контрол върху хоста.
Публикуваната архитектура на Vercel поставя всяка изолирана среда (sandbox) в нейна собствена Firecracker microVM върху самостоятелен (bare-metal) Amazon EC2 хост. Всяка microVM има отделно гостуващо ядро, докато Linux контейнер вътре в нея изпълнява потребителския код. Vercel изрично определя microVM, а не контейнера, като основна граница на сигурност.
Тази разлика е от значение за AI агенти, които изпълняват генериран или изтеглен код. Преминаването от контейнер към неговата гостуваща операционна система не е същото като достигането до основния хост. Твърдението на Yibelo описва по-сериозното преминаване на границата, въпреки че точните технически стъпки остават неогласени.
В съобщението не се посочва CVE номер, засегнати версии на ядрото (kernel), процесорни изисквания или корекция за сигурност. То също така не установява дали е необходим администраторски достъп до гостуващата система. Позоваването на KVM от страна на Rauch не доказва, че всяко KVM внедряване, инсталация на Firecracker или облачен доставчик е уязвим. Липсващите подробности предотвратяват и независима оценка на надеждността на експлоатацията при различни конфигурации на хоста.
За контекст, Cybersecuritynews по-рано отрази отделната KVM уязвимост Januscape, която включваше повреждане на паметта на хоста чрез влагане на виртуализация (nested virtualization). Няма разкрити доказателства, свързващи този проблем с откритието на Yibelo, така че неговите условия за експлоатация и корекции не трябва да се прилагат към този доклад.
Докато не бъде публикувано техническото разкритие, операторите трябва да следят Vercel и техните Linux доставчици за насоки, вместо да предполагат, дадена несвързана корекция за сигурност отстранява тази уязвимост. Непосредственият извод е потвърден доклад за уязвимост и заявено излизане от виртуалната машина с root достъп до хоста, а не потвърдена широкоразпространена експлоатация.
Обещаният доклад трябва да изясни първопричината, засегнатите системи и наличните защити, позволявайки на защитниците да оценят риска без гадания. Тези подробности ще определят кои среди действително се нуждаят от спешни действия.