据IT之家10月17日报道，Debian在最新安全公告中披露了Linux内核漏洞CVE-2026-99999，严重程度为“关键”（Critical），CVSS 3.1评分为9.3分。攻击者可利用IPv4校验和元数据校验缺陷，从虚拟机客户机突破隔离边界，影响宿主机。
报道指出，问题位于宿主机的Linux网络栈，并非KVM本身的缺陷。网络栈对延迟校验和处理不当：带有异常checksum_start元数据的数据包进入IPv4处理流程后，skb_checksum_help()可能在内核已经解析并信任IPv4头之后，改写其中的关键字段。
据报道援引的研究人员介绍，攻击者可借此使内核将原本20字节的IPv4头误判为60字节，进而读取逻辑数据包之外的宿主机内存。研究人员还在受控实验环境中实现了进一步写入与宿主机代码执行。
这一风险涉及KVM等虚拟化环境：恶意客户机可能通过宿主机网络栈的问题攻击宿主机。报道将云厂商、多租户沙箱和虚拟化平台列为风险尤其突出的场景。
修复方面，报道列出的上游补丁编号为6785011f8b16，补丁针对完成校验和计算前的checksum_start验证。Linux 6.12.113、6.18.57、7.2.11及7.3-rc7等版本已修复该漏洞。