CVE-2026-53359 (auch bekannt als Januscape): VM-Escape betrifft Linux KVM/x86

Januscape, erfasst unter der Kennung CVE-2026-53359 (CVSS 8.8), ist eine „Use-after-free“-Sicherheitslücke [CWE-825] im Linux-Kernel KVM/x86, durch die ein Gast den Host zum Absturz bringen und möglicherweise die Isolation zwischen Gast und Host durchbrechen kann. Die Ziele mit dem höchsten Risiko sind Intel- und AMD-x86_64-KVM-Hosts, die verschachtelte Virtualisierung zulassen, insbesondere in Umgebungen, die nicht vertrauenswürdige Gäste akzeptieren oder es Benutzern erlauben, virtuelle Maschinen zu erstellen. Große globale Rechenzentrumsbetreiber weltweit stehen nun vor der komplexen Aufgabe, riesige Flotten von KVM-Hosts zu patchen und dabei die Beeinträchtigung der Kunden-Workloads so gering wie möglich zu halten.

Eine aktive Ausnutzung von CVE-2026-53359 wurde bislang noch nicht gemeldet. Der ursprüngliche Melder der Schwachstelle, Hyunwoo Kim, behauptet, dass der Fehler im Rahmen von Googles kvmCTF als Zero-Day-Exploit genutzt wurde, und hat einen PoC veröffentlicht, der aus einer einzigen Gast-VM heraus einen Denial-of-Service (DoS) aller auf dem Host laufenden VMs auslösen kann. Detaillierte technische Analysen wurden ebenfalls veröffentlicht [1][2]. Zahlreiche nationale CERT-Stellen haben Warnungen herausgegeben, die auf ein hohes globales Risiko hinweisen [3][4][5][6][7][8][9][10][11][12][13][14][15][16].

Der OPENVAS ENTERPRISE FEED von Greenbone enthält Erkennung für CVE-2026-53359 unter Red Hat Enterprise Linux (RHEL), SUSE und openSUSE, AlmaLinux, Oracle Linux, Rocky Linux, Fedora sowie Debian. Greenbone wird die Erkennung weiterer Schwachstellen ausbauen, sobald weitere Linux-Distributionen Sicherheitshinweise veröffentlichen. Holen Sie sich eine Kopie von OPENVAS SCAN mit einer kostenlose zweiwöchige Testversion des OPENVAS ENTERPRISE FEED ist ein sicherer Weg, um einen umfassenden Einblick zu erhalten, wo in der IT-Infrastruktur Ihres Unternehmens Software-Schwachstellen bestehen.

Eine globale Risikobewertung von CVE-2026-53359 (Januscape)

Laut der ursprünglichen öffentlichen Bekanntmachung besteht die Schwachstelle bereits seit rund 16 Jahren. Darüber hinaus sind alle x86-Linux-Distributionen und -Kernel vor dem Korrektur-Commit betroffen. Dies bedeutet, dass der Umfang der betroffenen IT-Infrastruktur sehr groß ist und ein erhebliches globales Risiko darstellt. Eine erfolgreiche Ausnutzung kann zu einem Escape vom Gast zum Host, zur Beschädigung der Shadow-Seite des Host-Kernels, einem DoS-Angriff und möglicherweise zur Kompromittierung anderer Gast-VMs auf demselben Host führen. Für Betreiber globaler Rechenzentren bedeutet dieser Umfang, dass sich an jedem Standort dieselbe Herausforderung stellt: die Bereitstellung von Patches für Tausende von KVM-Hosts, ohne die Workloads der Kunden offline zu schalten.

Laut einem Beitrag im Ubuntu-Blog zeigt der primäre öffentliche PoC eindrucksvoll, dass eine Gast-VM ihren Hypervisor-Host zum Absturz bringen kann. Darüber hinaus heißt es im ursprünglichen Bericht, dass CVE-2026-53359 als Zero-Day-Exploit beim Google kvmCTF verwendet wurde.

Technische Bewertung von CVE-2026-53359 (Januscape)

CVE-2026-53359 (CVSS 8.8) betrifft die verschachtelte KVM-Virtualisierung auf Intel- und AMD-x86_64-Systemen, während andere Architekturen nicht betroffen sind. Wenn ein Cloud-Anbieter keine verschachtelte Virtualisierung zulässt, sind Instanzen über diesen Weg nicht betroffen. Allerdings ist die verschachtelte Virtualisierung im Linux-Kernel standardmäßig aktiviert. Eine erfolgreiche Ausnutzung ermöglicht einen Escape vom Gast zum Host, die Manipulation der Shadow-Seite des Host-Kernels, DoS-Angriffe sowie die Kompromittierung anderer auf demselben Host laufender VM-Gäste.

Im Ubuntu-Blog wird darauf hingewiesen, dass Systemdienste wie libvirt, lxd, multipass und incus potenziellen Angreifern das Erstellen virtueller Maschinen ermöglichen könnten, was die Sicherheitslücke vergrößern kann. Ein weiterer Risikopfad besteht, wenn die Berechtigungen für /dev/kvm zu weit gefasst sind; ist /dev/kvm für alle schreibbar, kann ein Benutzer ohne Sonderrechte eine lokale Rechteausweitung erreichen und sich Root-Rechte verschaffen.

CVE-2026-53359 ist ein „Use-after-free“-Schwachstelle in der Shadow-MMU-Emulation, die durch die Wiederverwendung von Shadow-Seiten verursacht wird, wenn die Seitenrolle nicht mit der neuen Verwendung übereinstimmt. Die betroffene Komponente ist der KVM/x86-Shadow-Paging-Pfad des Linux-Kernels in arch/x86/kvm/mmu/mmu.c. Die Hauptursache liegt darin, dass die Funktion kvm_mmu_get_child_sp() die Rollen nicht effektiv vergleicht. Die Nichtübereinstimmung kann einen veralteten rmap-Eintrag hinterlassen, was zu einer ausnutzbaren Zeigerdereferenzierung führt [CWE-825].

Von CVE-2026-53359 (Januscape) betroffene Produkte

Alle x86-Linux-Distributionen ab etwa 2014 und vor dem Commit zur Behebung des Problems im Linux-Kernel sind betroffen, unabhängig von der Distribution. Da es sich bei CVE-2026-53359 um eine „Guest-to-Host“-Escape-Schwachstelle handelt, hängt die Ausnutzung davon ab, dass das Zielsystem als KVM-basierter Hypervisor verwendet wird und die verschachtelte Virtualisierung auf einer Gast-VM aktiviert ist.

Für Ubuntu-Umgebungen sollten Sicherheitsverantwortliche die Januscape-Abhilfemaßnahmen von Canonical zu Rate ziehen, in denen darauf hingewiesen wird, dass alle Ubuntu-Versionen von Trusty (14.04) bis Resolute (26.04) betroffen sind. Während Patches für Ubuntu noch ausstehen, werden Anweisungen zum Deaktivieren der verschachtelten Virtualisierung bereitgestellt. In Red-Hat-Umgebungen sollten Teams die eingesetzten Kernel mit den korrigierten Builds vergleichen, die im Sicherheitsdateneintrag von Red Hat aufgeführt sind.

Abhilfemaßnahmen für CVE-2026-53359 (Januscape)

Eine vollständige Abhilfe hängt von der Installation der Sicherheitsupdates für die jeweilige Linux-Distribution ab. Vorrangig sollte zunächst ermittelt werden, wo auf Linux-KVM/x86-Hypervisoren verschachtelte Virtualisierung zum Einsatz kommt, insbesondere in Multi-Tenant-Umgebungen oder Bereitstellungen, in denen nicht vertrauenswürdige Benutzer Gast-VMs erstellen oder steuern können. Da die Ausnutzung der Schwachstelle von der Kontrolle über den Gast oder dem Zugriff auf Virtualisierungsschnittstellen abhängen kann, sollten Sicherheitsverantwortliche zudem überprüfen, wer VMs erstellen darf und ob die Berechtigungen für Geräteknoten rund um /dev/kvm einen zusätzlichen Pfad zur lokalen Privilegienerweiterung offenlegen.

Zusammenfassung

CVE-2026-53359 (Januscape; CVSS 8.8) ist eine schwerwiegende Sicherheitslücke an der Virtualisierungsgrenze, die durch einen „Use-after-free“-Fehler bei Intel- und AMD-basierten x86_64 Linux-KVM-Bereitstellungen mit aktivierter verschachtelter Virtualisierung im Linux-Kernel verursacht wird. Zu den Folgen gehören ein Ausbruch aus dem Gast in den Host sowie eine mögliche Kompromittierung anderer Gast-VMs auf demselben Host. Mindestens ein öffentlicher Proof-of-Concept sowie eine detaillierte technische Analyse sind öffentlich verfügbar[1][2]. Aktive Ausnutzung ist noch nicht bestätigt, doch die Vielzahl nationaler CERT-Warnmeldungen, die die Schwachstelle als hohes globales Risiko einstufen, spricht für sich [3][4][5][6][7][8][9][10][11][12][13][14][15][16].

Erkennung ist bereits verfügbar: Greenbones OPENVAS ENTERPRISE FEED deckt CVE-2026-53359 für Red Hat Enterprise Linux (RHEL), SUSE und openSUSE, AlmaLinux, Oracle Linux, Rocky Linux, Fedora und Debian ab; weitere Distributionen werden hinzugefügt, sobald deren Sicherheitshinweise vorliegen. Eine kostenlose zweiwöchige Testversion von OPENVAS SCAN mit dem OPENVAS ENTERPRISE FEED ist der schnellste Weg, um genau zu erkennen, wo sich diese Sicherheitslücke in der Infrastruktur Ihres Unternehmens befindet.