この記事でわかること
2026年10月15日に公開されたLinuxカーネルの脆弱性 CVE-2026-99999（通称 PwnEscape）について、「自分の環境は影響を受けるのか」を構成ごとに判定できるよう整理しました。
どんな脆弱性か
- ホストのLinuxカーネルのIPv4処理の不具合（KVM自体のバグではない）
- VMの仮想NIC（virtio-net）がホストに渡すチェックサムオフロードの情報を、ホストが検証していなかった
- 細工したパケットで、ホストのメモリ読み出し・ホストのクラッシュが起きる。研究者の検証環境ではホストのroot権限での実行まで確認
- CVSS 9.3（cve.org）／8.8（Red Hat）。回避策はなく、修正版カーネルへの更新と再起動のみ
構成別の判定
- AWS ECS Fargate・EKS on Fargate・Lambda：対応不要（AWS速報 2026-137-AWS で明記）
- ECS on EC2・EKSのEC2ノード：インスタンスの中のカーネルは利用者の管理。Amazon Linuxの修正版カーネルへ更新するか、最新AMIへ入れ替え
- Dockerのホスト：VMエスケープの対象ではないが、Red Hatは「ローカルの攻撃者」も挙げている。コンテナはホストのカーネルを共有するので、ホストの更新を前倒しに
- KVM・Firecracker・Kata Containersで他人のVMを動かすホスト：最優先で更新
- ベアメタルの普通のサーバー：通常のパッチ運用で更新
つまずきやすいポイント
- 「EC2は影響なし」はEC2の基盤の話。インスタンスのOSは自分で更新する
- Dockerは既定で
NET_RAWを付ける。特権コンテナやNET_ADMIN＋/dev/net/tunのコンテナがあるホストは優先 - カーネルは再起動して初めて切り替わる。更新後に
uname -rで確認
確認コマンドの例
uname -r
docker ps -q | xargs docker inspect --format '{{.Name}} privileged={{.HostConfig.Privileged}} add={{.HostConfig.CapAdd}}'
記事では、Amazon Linuxの修正版カーネル一覧、ディストリ別の修正状況、ECSのコンテナインスタンスの更新手順まで載せています。
※2026年10月17日時点の公開情報に基づきます。