Virtuele machine ontsnapt naar de host: moet je nu panikeren?

Of: waarom een eigen huis nog altijd op een gedeelde betonplaat staat

Op 6 oktober 2026 schreef ik hier dat containers geen veiligheidsgrens meer zijn, en dat wie code niet vertrouwt, beter een virtuele machine neemt. Drie dagen eerder had een onderzoeker gemeld dat hij uit precies zo’n virtuele machine was ontsnapt. Bij een bedrijf dat een miljoen dollar had uitgeloofd voor wie dat zou lukken. Ik had het kunnen weten.

VM escape in KVM: wat er gebeurde

Een miljoen dollar voor wie uitbreekt

Vercel is een Amerikaans cloudbedrijf dat websites en webapps host. Het verkoopt ook Vercel Sandbox, een dienst waarin AI-agenten code kunnen uitvoeren die niemand vooraf heeft nagekeken. „Agenten moeten onbetrouwbare code uitvoeren”, zo begint de aankondiging. Elke sandbox draait in een eigen micro-VM van Firecracker, met een eigen kernel, op fysieke servers van Amazon. Vercel schrijft zelf: „De micro-VM, niet de container, is de veiligheidsgrens.”

Om die grens te testen, opende Vercel van 18 augustus tot 1 september 2026 een publiek beloningsprogramma op HackerOne. De pot bedroeg 1 miljoen dollar, met maximaal 50.000 dollar per melding voor wie de gegevens van een andere klant kon lezen of aanpassen. Half september meldde Vercel 1.285 meldingen in twee weken, waarvan één kritiek, en geen enkele die bij echte klantgegevens kwam.¹

Op 3 oktober 2026 schreef de onderzoeker Paulos Yibelo op X dat hij een „volledige zero-day voor een VM escape” had, „van gast naar root op de host, in de standaardhypervisors van de sector”. Anderhalf uur later bevestigde Guillermo Rauch, de topman van Vercel: „We hebben een 0day in KVM bevestigd via ons beloningsprogramma voor Vercel Sandbox.” Het lek treft volgens hem „de gouden standaard van de sector voor virtualisatie onder Linux”. Yibelo kreeg 50.000 dollar, het maximum.

Wat we wel en niet weten

KVM is de hypervisor die in de Linux-kernel zelf zit: het stuk dat een gewone server toelaat om virtuele machines te draaien, elk met een eigen besturingssysteem. Firecracker steunt erop, net als Proxmox VE, dat bij kmo’s populair is, en veel VPS-aanbieders. Google gebruikt KVM onder meer voor Android en zijn cloud. „Gouden standaard” is dus geen overdrijving.

Wat ontbreekt, is al de rest. Rauch beloofde „een volledig verslag”, maar bij mijn laatste controle, op 13 oktober 2026, vond ik geen technische uitleg, geen CVE-nummer, geen lijst van getroffen versies en geen patch. Het is niet bekend of de aanvaller root moet zijn in de virtuele machine, of er speciale instellingen nodig zijn, en of het om de kritieke melding uit september gaat of om een nieuwe.

Het vierde in vier maanden

Wat wel bekend is: als dit een nieuw lek is, is het het vierde van dit soort in KVM sinds juni. De vorige drie komen allemaal van dezelfde onderzoeker, Hyunwoo Kim, en zijn intussen gecorrigeerd in de kernel. Het Centrum voor Cybersecurity België (CCB) waarschuwde voor Januscape en Zapscape met een titel die weinig te raden laat: „Patch onmiddellijk”.

Januscape zat zestien jaar in de code, sinds augustus 2010.² Kim gebruikte het met succes als zero-day in kvmCTF, het programma waarin Google tot 250.000 dollar betaalt voor een volledige ontsnapping uit KVM. Zijn publieke demonstratie laat de host alleen crashen; de volledige aanval houdt hij voor zich. Bij Zapscape gaat de demonstratie verder: ze maakt op de host een bestand aan, als root.³ Kim noemt het wel „geen aanval die meteen werkt” in een cloudomgeving.

Waarom je meestal niet moet panikeren

Om te begrijpen waarom deze lekken ernstig zijn en toch geen paniek verdienen, helpt het beeld van de vorige keer. Een container is een appartement in een gebouw waar iedereen dezelfde trappenhal deelt. Een virtuele machine is een eigen huis, met eigen muren en een eigen conciërge. Alleen staan al die huizen op dezelfde betonplaat: de host, met KVM erin. Een VM escape is een gat dat je vanuit je eigen kelder in die plaat boort. Wie erdoor raakt, staat onder alle huizen tegelijk.

Maar kijk naar wat je daarvoor nodig hebt. Je moet eerst in een van de huizen binnen zijn. Je moet er de baas zijn, met root. En voor Januscape en Zapscape moet het huis ook nog een tweede huis in zijn kelder hebben: geneste virtualisatie, een virtuele machine die zelf weer virtuele machines draait. Wie geen huis in de kelder bouwt, heeft geen kelderprobleem.

Dat zijn veel voorwaarden, en ze vertellen iets over wie het risico loopt. Bij een kmo die op een eigen Proxmox-server haar eigen diensten draait, is een VM escape de tweede stap van een aanval, niet de eerste. Iemand moet eerst een virtuele machine kraken, via een lek in de website bijvoorbeeld, en daar root worden. Het lek in KVM maakt van één gekraakte machine dan alle machines. Dat is ernstig. Het is ook iets wat pas gebeurt nadat er al iets anders is misgelopen.

En er is de prijs. Google betaalt tot 250.000 dollar voor zo’n ontsnapping, Vercel betaalde 50.000 dollar. Ik zou het zo zeggen: wie een werkende ontsnapping uit KVM in handen heeft, verspilt die niet aan de boekhoudserver van een kmo in Aalst, want elke keer dat ze gebruikt wordt, kan ze ontdekt worden en is ze haar waarde kwijt. Dat past in een breder beeld: van de lekken die in de eerste acht maanden van 2026 gemeld werden, werd er volgens Google ongeveer één op 431 echt misbruikt.

Wie wel haast moet maken

Het beeld kantelt bij wie vreemden in zijn huizen laat wonen. Bij een VPS-aanbieder is root in de virtuele machine geen voorwaarde die een aanvaller moet vervullen. Het is het product. Elke klant krijgt het, ook de klant die net met een gestolen kredietkaart heeft betaald. Daar is de eerste stap gratis, en hangt alles af van de betonplaat. Hetzelfde geldt voor diensten zoals Vercel Sandbox, die net gebouwd zijn om code van onbekenden te draaien.

Huur je zelf een VPS, dan is de host niet van jou, en de patch ook niet. Je kunt niets bijwerken. Je kunt wel vragen.

Kmo-Kristof: Al onze diensten draaien op Proxmox, elk in een eigen VM. Kunnen die nu allemaal ontsnappen?

Security-Sofie: Als iemand eerst in een van die VM’s binnenraakt. En daar root wordt. En voor twee van de lekken: als je geneste virtualisatie gebruikt.

Kmo-Kristof: Dat zijn veel als’en.

Security-Sofie: Daarom hoef je niet te panikeren.

Kmo-Kristof: Goed. Dan doe ik niets.

Security-Sofie: Nee. Je werkt de host bij en je herstart.

Kmo-Kristof: Alle VM’s tegelijk plat? Dat is erger dan panikeren.

Wat het betekent voor je zaak

De goede raad is weinig spectaculair, en dat is net het punt.

• Werk de kernel van de host bij, en herstart. Dat geldt voor Proxmox VE en voor elke Linux-server die zelf virtuele machines draait. Een update in de VM’s zelf helpt niet: het lek zit in de host. De gewone kernels vanaf 6.6.148, 6.12.101, 6.18.42 en 7.1.6 bevatten de correcties voor Januscape en Zapscape; distributies nemen ze vaak over in hun eigen versienummers, dus kijk naar de beveiligingsberichten van je distributie.
• Zet geneste virtualisatie uit als je ze niet gebruikt. Twee van de drie bekende lekken hebben ze nodig. Wie geen VM’s in VM’s draait, bijvoorbeeld voor een testlabo, verliest er niets aan. Volgens CIQ, dat Rocky Linux ondersteunt, verkleint dat het risico in afwachting van een update.
• Geef geen root aan wie je niet vertrouwt, op dezelfde host als je klantgegevens. Een VM voor een externe ontwikkelaar, of voor een AI-agent die zelf code uitvoert, zet je beter op een aparte server.
• Vraag het je hoster. Huur je een VPS, vraag dan of de hosts bijgewerkt zijn voor Januscape en Zapscape, en wat de aanbieder doet zodra het verslag van Vercel verschijnt.
• Gebruik je Hyper-V of VMware ESXi? Die gebruiken geen KVM. Deze lekken gaan niet over jou. De raad om bij te werken wel.

Een gedeelde betonplaat

Moet je panikeren? Nee. Een ontsnapping uit een virtuele machine vraagt iemand die al binnen is, met de rechten van de baas, en vaak een instelling die je zelf kunt uitzetten. Maar ik schreef op 6 oktober dat een eigen voordeur nog geen eigen huis is, en dat blijft waar. Alleen staat dat eigen huis op een gedeelde betonplaat, en die is dit jaar al drie keer gebarsten, misschien vier. Het verschil tussen paniek en onderhoud is dat je weet waar de barsten zitten. Dan vul je ze op. Liefst op een avond dat niemand de server nodig heeft.