Muren mellem lejere havde en revne
Det stille løfte ved enhver cloudserver og enhver virtuel privat server er adskillelse. Din maskine og maskinen tilhørende den fremmede, der betaler samme udbyder, kører på samme fysiske hardware, og et lag kaldet KVM, indbygget i Linux-kernen, er det, der holder dem adskilt. Januscape, registreret som CVE-2026-53359, er en revne i den mur. Det er en race condition i den måde, KVM styrer shadow page tables på, det interne kort, der oversætter en gæstemaskines hukommelse til rigtig hukommelse. Med fejlen kan værten knytte en af de poster til den forkerte gæsteramme, en ramme-nummer- og typeforveksling, der, styret omhyggeligt, lader en fjendtlig virtuel maskine skubbe værten til at mappe hukommelse, angriberen vælger. Det er en gæst-til-vært-flugt: lejeren kravler ud af sin kasse op på gulvet, alle deler.
Det, der gør den alvorlig, er rækkevidden. Fejlen sidder i kode, der er fælles for Intel- og AMD-processorer, så den udløses ved VMX og EPT på den ene og SVM og NPT på den anden side. Den blev indført i 2010 og lå stille i seksten år, hvilket betyder, at næsten enhver Linux-kerne udgivet i den periode bærer den. Den blev offentliggjort den 6. juli på den offentlige oss-security-liste, rettet upstream den 16. juni, og de rettede stabile kerner, versionerne 7.1.3, 6.18.38, 6.12.95, 6.6.144, 6.1.177, 5.15.211 og 5.10.260, kom først den 4. juli.
Hvorfor vi har patchet nu har to svar
Den usædvanlige fare her er ikke fejlen, det er rettelsens form. At lukke Januscape kræver to koblede upstream-commits, ikke én: flugt-rettelsen med CVE-2026-53359 og en ledsagende ramme-nummer-rettelse med CVE-2026-46113. Lægger man kun den første ind, den med det mindeværdige navn, står døren på klem. En administrator, der læste den fremhævede advarsel, lagde den ene patch ind og lukkede sagen, har gjort det fornuftige og er stadig udsat. Derfor afgør en rutinepræget sætning, vi har patchet, ikke længere sagen for denne fejl.
For en ejer er eksponeringen sjældent dit eget serverrack. Det er udbyderen under dine leverandører: VPS-værten, der kører dit websted, den private sky, der kører din forretningssoftware, den administrerede platform, der kører dine data. I Danmark er Center for Cybersikkerhed den nationale myndighed, og NIS2 skubber samme forventning: du er fortsat ansvarlig for sikkerheden i tjenester leveret på dine vegne. En hypervisor-flugt er præcis den slags svigt i delt infrastruktur, som de regler blev skrevet for, fordi en upatchet vært kan ophæve den adskillelse, tusind kunder betalte for.
Spørgsmålet til din hostingudbyder denne uge
For de fleste ejere er dette ikke en kerne-kompileringsopgave, det er et indkøbsspørgsmål stillet klart. Stil den, der kører dine virtuelle maskiner, hvad enten det er en VPS-vært, et internt privat-sky-team eller en administreret platformudbyder, tre ting: er værtskernen nu på en rettet stabil version eller en live-patch; indeholder den rettelse begge commits, flugt-rettelsen og dens ledsager; og hvornår kom den. Der findes ingen konfigurationskontakt, der gør dette sikkert. En patchet kerne med genstart, eller en live-patch lagt ind uden, er det eneste komplette svar, og indtil det er på plads, bør enhver flerlejer-vært behandles som nåbar fra en fjendtlig nabo.
Den praktiske forskydning er lille, men reel. Lejeren ved siden af dig, et navn du aldrig får at vide, gik denne måned fra en abstrakt bekymring til en linje i din trusselsmodel. De ejere, der gør det til et konkret skriftligt svar fra deres udbyder frem for en bekvem antagelse, er dem, der ikke skal gætte, hvis denne fejl nogensinde kædes sammen i et reelt indbrud.
Læs videre: CitrixBleed er tilbage, udnyttet inden for en dag | Et forfalsket token åbner hver pc værktøjet styrer
