Halo, Kawan Belajar!
Pada pertengahan Oktober 2026, dipublikasikan kerentanan kernel Linux dengan kode CVE-2026-99999 yang dikenal dengan nama PwnEscape. Kerentanan ini mendapat skor CVSS 9.3 (Critical) karena dapat dimanfaatkan dari dalam virtual private Server (VPS) untuk menyerang server fisik yang menjalankan VPS tersebut (host).
Artikel ini membahas secara singkat apa itu PwnEscape, dampaknya, status perbaikannya, serta langkah yang perlu kamu lakukan.
Apa Itu CVE-2026-99999 (PwnEscape) ?
CVE-2026-99999 adalah celah pada bagian jaringan kernel Linux, tepatnya pada pemrosesan paket IPv4 di sisi host. Celah ini ditemukan oleh seorang security researcher bernama Paulos Yibelo dari pwn.ai saat mengikuti tantangan keamanan Vercel Sandbox. Tidak disadari bahwa celah ini sudah ada sejak kernel Linux 2.6.27, sehingga cakupan versi kernel yang terdampak sangat luas.
Masalahnya berada pada fitur checksum offload, yaitu optimasi yang menunda perhitungan checksum paket jaringan. VPS dapat mengirim paket dengan informasi checksum yang sudah dimanipulasi. Saat kernel host menyelesaikan perhitungan checksum, hasilnya tertulis ke bagian header paket yang sebelumnya sudah diperiksa. Akibatnya, kernel salah membaca panjang header dan ikut mengirimkan 32 byte memori host ke dalam paket. Kebocoran ini dapat dipicu berulang kali.
Dampak Kerentanan
Dampak yang sudah dibuktikan oleh peneliti adalah sebagai berikut:
- Pada lingkungan produksi Vercel, memori host dapat bocor keluar melalui paket jaringan. Vercel menyatakan tidak ada laporan dalam tantangan tersebut yang menunjukkan akses ke data pelanggan.
- Pada lingkungan uji milik peneliti, host dapat dibuat crash, memori kernel host dapat ditulis, dan perintah dapat dijalankan sebagai root di host.
Para pakar dibidangnya belum mempublikasikan detail eksploitasi lengkapnya, tetapi memperkirakan exploit untuk konfigurasi yang lebih lemah dapat muncul dalam hitungan minggu.
Status Perbaikan
Perbaikan untuk celah ini masuk ke kernel Linux mainline pada 14 Oktober 2026 dan sudah tersedia pada rilis kernel stabil, di antaranya 6.1.190, 6.6.159, 6.12.113, dan 6.18.57. Distro Linux umumnya membawa perbaikan ini melalui backport, sehingga nomor versi kernel distro bisa berbeda dengan versi upstream.
Per 19 Oktober 2026, Debian 12, Debian 13, dan Proxmox VE sudah merilis kernel perbaikan. AlmaLinux menyediakannya melalui repository testing, sedangkan Ubuntu, Red Hat Enterprise Linux, CloudLinux, dan SUSE belum merilis kernel perbaikan.
Ada dua hal yang perlu diperhatikan:
- Kernel yang wajib diperbarui adalah kernel host. Memperbarui kernel di dalam VM tidak menutup celah ini pada host.
- Kernel baru hanya aktif setelah server di-reboot.
Catatan: Pengembang kernel menyebut patch ini sebagai lapisan pertahanan tambahan, dan validasi yang lebih menyeluruh masih dikerjakan. Karena itu, kemungkinan masih akan ada pembaruan kernel lanjutan.
Langkah yang Perlu Dilakukan
Sisi host pada layanan Kilat VPS dikelola sepenuhnya oleh Tim Infrastruktur CloudKilat. Host adalah server fisik yang menjalankan seluruh VPS pelanggan, dan di sinilah letak celah CVE-2026-99999. Karena celah ini berada di kernel Linux pada sisi host, bukan di dalam VPS, penanganannya menjadi tanggung jawab CloudKilat dan dilakukan langsung oleh tim infrastruktur kami.
Kami sarankan juga kamu dapat melakukan pengecekan dan memantau status CloudKilat pada tautan berikut ini untuk mengetahui update perkembangan upaya mitigasi dan jadwal maintenance terhadap infrastruktur CloudKilat : Halaman Status CloudKilat.
Kesimpulan
CVE-2026-99999 mengingatkan kita bahwa keamanan virtualisasi bergantung pada seluruh sistem host, bukan hanya hypervisor. Celah ini serius karena menyentuh batas isolasi antar-pengguna, tetapi bukti terkonfirmasi di dunia nyata baru sebatas kebocoran memori dan belum ada serangan aktif yang tercatat. Dengan penambalan tepat waktu di sisi infrastruktur, risikonya bisa ditekan dengan baik.