أعلن الباحث الأمني هيون وو كيم عن ثغرة خطيرة في نواة لينكس ضمن كود KVM الخاص بمعالجات ARM64، تحمل الرمز CVE-2026-89775. الثغرة تسمح للآلة الافتراضية (Guest) بقراءة وكتابة ذاكرة المضيف مباشرة عند تفعيل ميزة Nested Virtualization، ما يفتح الباب أمام الهروب من البيئة الافتراضية وتنفيذ أوامر على الجهاز المضيف. المشكلة تنشأ عندما يُرتب الضيف ذاكرته بطريقة تؤدي إلى حساب حجم يساوي صفر، فيتخطى النظام خطوة TLB Invalidation اللازمة لمسح الإدخالات القديمة من ذاكرة العناوين، مما يُبقي صفحة ذاكرة محررة قابلة للقراءة والكتابة.
النطاق والإصدارات المتأثرة
- الثغرة موجودة في النواة منذ الإصدار 6.16، لكن السلوك القابل للاستغلال يبدأ فعلياً من 6.17.
- تم إصلاحها في الإصدارات 6.18.51، 7.2.5، و7.3-rc1.
- توزيعات لينكس تختلف في حالة الإصلاح:
- Red Hat Enterprise Linux: الإصدار 10 متأثر، بينما الإصدارات 6–9 غير متأثرة.
- Ubuntu: نسخة 26.04 متأثرة، أما 24.04 LTS غير متأثرة إلا أن نوى HWE الحديثة (6.17، 7.0) معرضة.
- Amazon Linux: الحزمة AL2023 kernel6.18 ما زالت بانتظار الإصلاح.
- Debian: إصدارات bookworm وtrixie غير متأثرة، sid مُصلح في 7.2.6-1، بينما forky معرضة.
سيناريوهات الهجوم
الثغرة يمكن استغلالها بطريقتين:
- هروب الضيف إلى المضيف: حيث يتمكن الضيف من تنفيذ أوامر على الجهاز المضيف.
- تصعيد محلي للصلاحيات: إذا كان جهاز المضيف يسمح لأي مستخدم بفتح /dev/kvm، يمكن لمستخدم عادي بناء ضيف واستغلال الثغرة للحصول على صلاحيات الجذر.
خطورة وتأثيرات محتملة
- تقييم الخطورة يتراوح بين 7.8 و9.3 حسب التوزيعة، مع اتفاق عام على أن التأثير عالي وأن الهجوم محلي لا يتم عبر الشبكة.
- لم تُسجل حالات استغلال فعلية حتى الآن، ولم تُدرج الثغرة في قائمة الثغرات المستغلة لدى CISA.
- شركات كبرى مثل AWS وGoogle Cloud لا تعرض تكوينات ARM64 مع دعم Nested Virtualization، ما يقلل من خطر الاستغلال في بيئاتها القياسية.
سياق أوسع
هذه الثغرة هي الرابعة التي يكشف عنها كيم هذا العام والمتعلقة بهروب الضيوف من KVM:
- Januscape (يوليو) على x86.
- Zapscape (أغسطس) على x86.
- ITScape (يونيو) على ARM64، والتي كانت أول هروب منشور علناً على ARM64.
- والآن CVE-2026-89775، التي تؤكد استمرار المخاطر في بيئات المحاكاة الافتراضية متعددة المستأجرين.
