KVM VM-Escape „Januscape“: 16 Jahre alte Linux-Lücke gepatcht

Ein KVM VM-Escape gehört zum Schlimmsten, was in einer virtualisierten Umgebung passieren kann: Ein Angreifer bricht aus der Gast-VM aus und übernimmt den Host – und damit potenziell alle anderen VMs auf demselben Server. Genau das ermöglicht eine frisch gepatchte Schwachstelle im Linux-Kernel, die auf den Namen Januscape getauft wurde und rund 16 Jahre lang unentdeckt blieb.

Was der KVM VM-Escape „Januscape“ genau ist

Die Lücke wird als CVE-2026-53359 geführt und steckt im Shadow-MMU-Code von KVM (Kernel-based Virtual Machine). Dabei handelt es sich um eine Use-after-free-Schwachstelle: Ändert ein Gast einen Page-Directory-Eintrag und löscht danach einen Memory-Slot, greift die Aufräumroutine auf bereits freigegebenen Speicher zu. Das korrumpiert den Shadow-Page-Zustand des Host-Kernels und durchbricht die Isolation zwischen Gast und Host.

Newsletter

Klartext ins Postfach

KI, Security & Crypto – die wichtigsten Analysen, kein Spam. Jederzeit abbestellbar.

E-Mail-Adresse *

Vorname

Nachname

Besonders brisant: Der Code liegt im gemeinsamen Pfad, den KVM sowohl auf Intel- als auch auf AMD-Prozessoren nutzt. Laut dem Entdecker ist Januscape der erste öffentlich bekannte Guest-to-Host-Exploit, der auf beiden x86-Plattformen funktioniert. Ein veröffentlichter Proof-of-Concept lässt den Host abstürzen; ein separater, nicht veröffentlichter Exploit soll daraus vollständige Code-Ausführung auf dem Host machen.

Wer von dem KVM VM-Escape betroffen ist

Für den Angriff braucht es Root-Rechte innerhalb der Gast-VM. Das klingt nach einer Hürde, ist es in der Praxis aber oft nicht: In vielen Public-Cloud-Angeboten und bei selbst gehosteten Servern bekommen Nutzer standardmäßig Root in ihrer eigenen VM. Wer also nicht vertrauenswürdige Gäste auf einem gemeinsamen KVM-Host laufen lässt, muss die Lücke ernst nehmen.

Für einen sauberen Fix sind übrigens zwei gekoppelte Schwachstellen zu schließen: CVE-2026-53359 und die Begleit-Lücke CVE-2026-46113.

Patchen: So schließt du die Lücke

Die Korrektur landete am 19. Juni 2026 im Mainline-Kernel. Die stabilen Fassungen wurden am 4. Juli 2026 veröffentlicht – unter anderem in den Versionen 7.1.3, 6.18.38, 6.12.95, 6.6.144, 6.1.177, 5.15.211 und 5.10.260. Wer eine dieser oder eine neuere Version einspielt, ist geschützt.

• Kernel aktualisieren auf eine der gepatchten Versionen und Host neu starten.
• Wenn kein sofortiger Patch möglich ist: Nested Virtualization abschalten (kvm_intel.nested=0 bzw. kvm_amd.nested=0) – das entfernt den Angriffspfad für nicht vertrauenswürdige Gäste.
• Beide CVEs prüfen: Vollständig sicher bist du erst, wenn auch CVE-2026-46113 abgedeckt ist.

Ein aktueller Kernel gehört ohnehin zur Pflichthygiene jedes Linux-Systems – nicht nur wegen Januscape. Wie kritisch eine veraltete Linux-Basis ist, haben wir zuletzt am Beispiel des Support-Endes von Ubuntu 25.10 beschrieben.

Einordnung: Warum der KVM VM-Escape ein Weckruf ist

16 Jahre in einer der meistgenutzten Virtualisierungsschichten der Welt – das zeigt, wie schwer sich tief liegende Speicherfehler finden lassen. Wer zu Hause oder im kleinen Unternehmen mit Proxmox, Libvirt oder direkt KVM virtualisiert, sollte Januscape zum Anlass nehmen, seine Update-Strategie zu prüfen. Praktische Tipps zum sicheren Aufbau eines eigenen Heimservers findest du in unserem Ratgeber zu NAS und Heimserver 2026.

Quellen

• The Hacker News: 16-Year-Old Linux KVM Flaw Lets Guest VMs Escape to Host
• SecurityWeek: Linux Kernel Vulnerability Allows VM Escape on Intel and AMD Systems
• CloudLinux: Januscape (CVE-2026-53359) – Mitigation and Kernel Update