Zapscape: KVM-Guest-Escape und lokaler Root im Linux-Kernel (CVE-2026-64561)
Eine Kernel-Schwachstelle erlaubt es, aus einer KVM-Gastumgebung auszubrechen und lokale Root-Rechte auf dem Host zu erlangen. Besonders relevant für Hoster und Virtualisierungsumgebungen mit mehreren Mandanten.
CloudLinux hat am 6. August 2026 eine Kernel-Schwachstelle mit der Bezeichnung Zapscape (CVE-2026-64561) veröffentlicht, die einen Ausbruch aus einer KVM-Gastumgebung (Kernel-based Virtual Machine) sowie eine lokale Rechteausweitung zum Root-Benutzer auf dem Hostsystem ermöglicht. Anders als eine reine lokale Rechteausweitung betrifft diese Klasse von Schwachstelle direkt Virtualisierungs- und Hosting-Umgebungen mit mehreren Mandanten auf demselben physischen Host.
Was ist passiert?
Zapscape beschreibt einen Fehler im Linux-Kernel, der es einem Angreifer mit Kontrolle über eine KVM-Gastumgebung erlaubt, die Isolation zwischen Gast und Host zu durchbrechen. Nach erfolgreicher Ausnutzung kann der Angreifer lokale Root-Rechte auf dem Hostsystem erlangen. CloudLinux hat gleichzeitig ein Kernel-Update veröffentlicht, das die Lücke für CloudLinux-Nutzer schließt.
Wichtig für die Einordnung: Diese Schwachstellenklasse unterscheidet sich technisch von einer reinen lokalen Rechteausweitung innerhalb eines einzelnen Systems, da sie die Grenze zwischen virtueller Maschine und physischem Host betrifft. In Multi-Tenant-Virtualisierungsumgebungen, in denen mehrere Kunden auf demselben Hypervisor gehostet werden, bedeutet das potenziell, dass ein Angreifer mit Zugriff auf eine einzelne virtuelle Maschine auf den Host und damit theoretisch auf andere Gäste desselben Hosts zugreifen könnte.
Wer ist betroffen?
Betroffen sind Linux-Systeme, die KVM als Virtualisierungstechnologie einsetzen, mit Kernel-Versionen vor dem CloudLinux-Sicherheitsupdate vom 6. August 2026. Besonders relevant ist die Lücke für Hosting-Provider und Unternehmen, die eigene KVM-basierte Virtualisierungsumgebungen mit mehreren Mandanten betreiben. CloudLinux-Nutzer sollten prüfen, ob das veröffentlichte Kernel-Update bereits eingespielt wurde.
Nicht betroffen sind Systeme ohne KVM-Virtualisierung sowie Systeme, auf denen das CloudLinux-Kernel-Update bereits eingespielt ist. Für Nutzer anderer Linux-Distributionen ist der aktuelle Patchstand der jeweiligen Kernel-Maintainer zu prüfen, da die CloudLinux-Quelle in erster Linie den eigenen Patch beschreibt.
Wie kritisch ist das?
Ein KVM-Guest-Escape mit anschließender Root-Rechteausweitung auf dem Host gehört zu den kritischsten Schwachstellenklassen in Virtualisierungsumgebungen, da die grundlegende Isolationsannahme zwischen Mandanten durchbrochen wird. Anders als eine klassische lokale Rechteausweitung innerhalb eines einzelnen Systems kann diese Lücke in Hosting-Szenarien mit gemeinsam genutzter Hardware weitreichendere Folgen haben. Zum Zeitpunkt der Veröffentlichung liegt kein Hinweis auf aktive Ausnutzung in freier Wildbahn vor, es handelt sich um eine von CloudLinux proaktiv geschlossene Lücke mit veröffentlichtem Patch.
Was sollten Admins jetzt tun?
- CloudLinux-Kernel-Update vom 6. August 2026 prüfen und zeitnah einspielen, insbesondere auf Hosting- und Virtualisierungsservern
- Bei Einsatz anderer Linux-Distributionen mit KVM: Aktuellen Patchstand des jeweiligen Distributions-Kernels gegen CVE-2026-64561 prüfen
- In Multi-Tenant-Umgebungen mit mehreren Kunden auf demselben Host die Dringlichkeit besonders hoch einstufen, da ein erfolgreicher Ausbruch andere Mandanten gefährden könnte
- Nach dem Update prüfen, ob ungewöhnliche Aktivitäten auf Host-Ebene protokolliert wurden, die auf einen bereits erfolgten Ausbruchsversuch hindeuten könnten
- Bestehende Isolationsmassnahmen zwischen Gastsystemen (z.B. SELinux/AppArmor-Profile für KVM, cgroup-Beschränkungen) als zusätzliche Verteidigungsebene prüfen
Einordnung für Unternehmen
Nur relevant für Unternehmen mit eigener KVM-basierter Virtualisierungsinfrastruktur, dort aber mit hoher Priorität, insbesondere bei Mehrmandantenbetrieb. Kleine und mittlere Unternehmen, die ausschließlich Cloud-Dienste großer Anbieter nutzen, ohne eigene Virtualisierungsschicht zu betreiben, sind in der Regel nicht direkt betroffen, sollten aber bei Hosting-Partnern nach dem Patchstand fragen, wenn eigene virtuelle Maschinen dort betrieben werden.
Passende Anleitungen auf S-EDV
- DirtyClone CVE-2026-43503: Linux-Kernel-Root-Eskalation – Vergleichbare Linux-Kernel-Schwachstelle mit anderer Angriffsklasse (lokale statt Virtualisierungs-Eskalation).
- GhostLock CVE-2026-43499: Linux-Kernel-Root und Container-Escape – Thematisch verwandter Fall eines Escape-Szenarios im Linux-Kernel.
