Hai semuanya, apa kabar? Kali ini aku mau share lagi info update keamanan Proxmox. Tulisan sebelumnya (terkait keamanan Proxmox juga) bisa dicek di sini: https://zaidan.web.id/2026/10/15/update-keamanan-proxmox-celah-baru-di-vma-extraction-bisa-timpa-file-host/ . Celah keamanan kali ini namanya PwnEscape – CVE-2026-99999 .
Apa Itu PwnEscape
Celah keamanan kali ini bisa dibilang lebih serius daripada beberapa security advisories yang aku tulis sebelumnya. Celah ini memungkinkan attacker yng sudah ada di dalam VM untuk dapat keluar dan takes over the host (bisa dibilang sebagain guest to host escape).
Celah ini bukan berada di KVM atau Proxmox-nya, melainkan berada di Linux Kernel, tepatnya di IPv4 network stack yang digunakan oleh host.
Cara kerja dari celah ini adalah, kode atau program yang berjalan di dalam VM dapat keluar dari isolasi dan mengakses memori dari host /induknya. Bahkan dapat menjalankan perintah/kode di host-nya. VM mengirim paket jaringan dengan metadata checksum yang dimanipulasi. Kernel host menerima paket itu, memprosesnya, dan, karena validasi yang kurang, header jaringan bisa korup. Dari situ, attacker bisa:
- Membaca memori host (sekitar 32 byte per paket, dan bisa diulang terus)
- Membuat host crash (cukup dua paket jahat untuk mematikan host dan semua VM di atasnya)
- Menjalankan kode di host,
Celah ini ditemukan oleh Paulos Yibelo dari pwn.ai dalam tantangan/challenge yang diadakan oleh Vercel (Vercel Sandbox senilai 1 juta dolar) dan risetnya menggunakan Omega-Pwn.
Dampak untuk Proxmox
Di Proxmox VE, proses QEMU berjalan sebagai root karena QEMU butuh akses ke block device, PCI, dan resource lain yang ada di host. Misalnya kita keluar dari guest VM, kita bisa langsung akses PVE dengan root. Maka dari itu, celah ini dinamakan guest-to-host escape yang dapat menguasai host dengan hak akses tertinggi pada sistem, yaitu root.
Celah ini masuk ke dalam kategori critical namun masuk juga ke kategori local – artinya attacker harus sudah punya kode/program yang ada di dalam VM yang sistemnya akan diserang (bukan merupakan celah yang dapat dieksploitasi dari internet oleh sembarang orang). Walaupun begitu, celah ini adalah ancaman serius, terutama di dalam lingkungan:
- Multi-tenant: satu VM milik satu tenant bisa dipakai buat menyerang tenant lain
- Menjalankan untrusted code: VM yang dipakai buat testing, sandbox, atau development
- Shared hosting: di mana banyak pengguna berbagi infrastruktur yang sama
Mitigasi
Proxmox sudah merilis patch untuk celah ini di dalam update kernel berikut:
proxmox-kernel-7.0.14-24-pve
Saat tulisan ini dibuat, referensi yang ada (forum) menyatakan update sejauh ini baru tersedia untuk no-subscription repo dan akan menyusul ke enterprise repo dalam beberapa waktu ke depan.
Proses update/patch bisa menggunakan perintah berikut:
apt update
apt dist-upgrade
Karena update ini menyangkut perubahan versi kernel Linux, maka reboot diperlukan. Pastikan untuk melakukan backup dan evakuasi VM ke node lain (dan langkah mitigasi lain seperti melakukannya pada waktu non production, dll) sebelum melakukan reboot untuk mengurangi risiko yang tidak diinginkan.
Catatan: Saat ini hanya kernel series 7.0.14 yang masih didukung. Jadi kalau teman-teman masih pakai kernel yang sudah EOL (end of life), tidak ada patch untuk perbaikan ini. Bisa dipertimbangkan untuk sekalian upgrade dari versi lama Proxmox VE juga.
Tulisan kali ini sampai di sini dulu ya. Sampai jumpa. Bye.
Referensi
- https://nvd.nist.gov/vuln/detail/cve-2026-99999
- https://forum.proxmox.com/threads/proxmox-virtual-environment-security-advisories.149331/page-4
- https://pwn.ai/blog/pwnescape
- https://forum.proxmox.com/threads/cve-2026-99999-or-the-vercel-kvm-zero-day.187089/#post-873160