Bezpečnostní výzkumník Hyunwoo Kim popsal zranitelnost nazvanou Januscape, která na procesorech Intel i AMD dovoluje útočníkovi uvnitř virtuálního stroje spustit vlastní kód přímo na hostitelském systému.

Chyba s označením CVE-2026-53359 se nachází v kódu MMU linuxového hypervizoru KVM a jde o takzvaný typ host-na-hostitele – útočník ji tedy zneužívá zevnitř virtuálního stroje k ovlivnění paměti systému, který tento stroj hostí. Podle autora nálezu dosud nezveřejněný exploit umožňuje z virtuálního stroje spustit vlastní kód v hostitelském systému a tím ho zcela ovládnout. Útok vyžaduje dvě podmínky: oprávnění roota uvnitř virtuálního stroje a možnost použít vnořenou virtualizaci, kterou hostitel zpřístupňuje. Hardwarové mechanismy EPT nebo NPT přitom nepomohou, protože vnořená virtualizace nutí KVM vrátit se k původnímu, zranitelnému kódu, a samotný exploit nevyžaduje žádnou spolupráci ze strany QEMU ani jiného nástroje pro správu virtuálních strojů v uživatelském prostoru.

Zranitelný kód se do jádra dostal už v srpnu 2010, v době jádra řady 2.6.36, a opraven byl teprve komitem začleněným do hlavní vývojové větve 19. června letošního roku – v jádře se tak chyba skrývala plných šestnáct let. Nejvíc ohrožuje sdílená prostředí, kde může útočník se svým vlastním virtuálním strojem ovládnout celou hostitelskou instanci a tím i ostatní zákazníky na stejném fyzickém serveru.

Vývojáři jádra vydali opravu v podporovaných verzích 7.1.3, 6.18.38, 6.12.95, 6.6.144, 6.1.177, 5.15.211 a 5.10.260. Provozovatelům veřejné virtualizace pro více zákazníků se doporučuje nasadit opravu bez zbytečného odkladu.