In KVM non si rompe solo una VM: salta la premessa che un guest resti confinato. Con root dentro la macchina virtuale, il bug può corrompere lo shadow MMU dell’host e trasformare un incidente “di guest” in controllo del server fisico o in panic dell’intero nodo.
Le fonti confermano CVE-2026-53359, Januscape, un use-after-free nel codice shadow MMU del kernel Linux che affligge Intel e AMD ed è rimasto latente per 16 anni. La dimostrazione al kvmCTF ha mostrato lo zero-day come guest-to-host escape, e le patch mainline del 19 giugno stanno ora propagandosi nei downstream.
Per chi gestisce KVM multi-tenant o nested virtualization esposta, il punto non è solo la correzione del kernel: una VM compromessa può trascinare con sé l’host e tutti gli altri tenant sulla stessa macchina. Il fatto che la finestra sia rimasta aperta così a lungo allarga anche la probabilità di trovare versioni e distribuzioni ancora vulnerabili.