Une nouvelle vulnérabilité critique récemment découverte dans le sous-système KVM/x86 du noyau Linux remet en cause la sécurité des hyperviseurs basés sur cette technologie, notamment Proxmox VE, ainsi que d’autres plateformes utilisant KVM comme composant de virtualisation. Identifiée comme CVE-2026-64561 et baptisée Zapscape, cette faille permet, dans certaines conditions, à une machine virtuelle d’échapper à l’hôte et d’exécuter du code avec des privilèges kernel.

Les essentiels de Zapscape en 20 secondes

• La vulnérabilité CVE-2026-64561 concerne le sous-système KVM/x86 du noyau Linux.
• Elle permet une possibilité de sortie de machine virtuelle vers l’hôte via une faille dans le Shadow MMU.
• Elle ne peut être exploité que si l’invité dispose de privilèges élevés et si la virtualisation imbriquée est activée.
• Proxmox VE et toute plateforme basée sur KVM doivent appliquer les mises à jour du noyau dès qu’elles seront disponibles.

Cette vulnérabilité a été découverte par le chercheur Hyunwoo Kim (@v4bel), qui a publié à la fois une analyse technique et une preuve de concept (PoC) après la fin de la période d’embargo, en coordination avec les mainteneurs du noyau Linux.

Le problème se situe dans KVM, pas dans Proxmox VE

Bien que cette nouvelle suscite des inquiétudes chez les administrateurs de Proxmox VE, il est important de préciser un point essentiel : la vulnérabilité ne provient pas de Proxmox, mais de KVM (Kernel-based Virtual Machine), le hyperviseur intégré dans le noyau Linux utilisé par de nombreuses plateformes de virtualisation.

Cela signifie que l’impact dépasse largement Proxmox VE. Les systèmes suivants peuvent également être affectés :

• Infrastructures KVM personnalisées
• Plateformes cloud basées sur KVM
• Solutions utilisant KVM comme moteur de virtualisation
• Distributions Linux exposant KVM à des utilisateurs ou fournisseurs externes

L’auteur de l’analyse indique que la vulnérabilité apparaît dans le Shadow MMU de KVM/x86, lors de la récupération des pages mémoire en cas de virtualisation imbriquée.

Qu’est-ce que Zapscape exactement ?

Selon la documentation technique publiée par le chercheur, Zapscape est une vulnérabilité de type Use-After-Free (UAF).

Lors de certaines opérations de récupération de pages du Shadow MMU, KVM supprime récursivement une page racine qui est encore utilisée. Par la suite, le système continue d’opérer sur cette structure déjà libérée, ce qui peut entraîner une corruption de la mémoire du noyau de l’hôte.

Si l’exploitation réussit, un attaquant pourrait exécuter du code avec des privilèges root sur le système hôte.

Quel pourrait être l’impact ?

Le document technique décrit deux scénarios principaux :

Évasion d’une machine virtuelle

C’est le scénario le plus préoccupant pour les fournisseurs cloud.

Un utilisateur disposant d’un contrôle sur sa machine virtuelle pourrait compromettre le serveur physique qui l’héberge et, potentiellement, affecter les autres machines virtuelles du même hôte.

Les conséquences possibles incluent :

• Exécution de code à distance sur l’hôte
• Déni de service (DoS)
• Compromission d’autres VM

Escalade locale de privilèges

Dans certaines distributions Linux où /dev/kvm permet un accès sans privilèges élevés, la faille pourrait également servir comme vulnérabilité d’escalade locale pour obtenir des droits administrateur.

Toutes les installations de Proxmox sont-elles vulnérables ?

Un point important à souligner est que la présence de la vulnérabilité ne signifie pas que toutes les installations soient exploitables.

Selon le chercheur, pour reproduire l’attaque, plusieurs conditions doivent être réunies :

Autrement dit, une installation domestique ou professionnelle ne permettant pas une virtualisation imbriquée pour des utilisateurs non fiables présente un risque beaucoup plus faible comparée à celui d’un environnement cloud multi-utilisateurs.

Versions concernées

Le chercheur indique que la vulnérabilité affecte le code introduit entre les commits suivants du noyau Linux :

• Depuis f95eec9bed76 (8 juillet 2020)
• Jusqu’à 2abd5287f083 (21 juillet 2026)

Cela situe l’origine du problème il y a environ six ans, et il est présent dans plusieurs versions du noyau jusqu’à sa correction.

QEMU n’est pas en cause

Un autre point important précisé dans la documentation est que QEMU ne contient pas cette vulnérabilité.

Le problème réside entièrement dans KVM dans le noyau Linux. Cela signifie qu’il peut se manifester indépendamment du logiciel de virtualisation utilisé par l’administrateur.

En conséquence, toute plateforme utilisant KVM comme backend devra appliquer les futures mises à jour du noyau, quelle que soit la version de QEMU installée.

Ce que doivent faire les administrateurs de Proxmox VE

Tant que les différentes distributions publient leurs mises à jour, il est recommandé de suivre ces bonnes pratiques :

• Appliquer rapidement les mises à jour du noyau dès leur disponibilité
• Éviter d’activer la virtualisation imbriquée si ce n’est pas indispensable
• Restreindre l’accès à /dev/kvm aux seuls utilisateurs autorisés
• Consulter les recommandations publiées par Proxmox et la distribution Linux utilisée

Comme c’est le cas pour la majorité des vulnérabilités liées à KVM, le risque dépend aussi du modèle d’attaque envisagé. Les environnements cloud multi-locataires avec des VM de clients non fiables sont ceux où ce type de faille peut être le plus critique.

Un nouvel avertissement pour les opérateurs cloud

Zapscape intervient quelques mois après Januscape (CVE-2026-53359), une autre vulnérabilité détectée dans le même sous-système du Shadow MMU de KVM. Bien que le chercheur précise que ces deux failles ont des causes différentes, il souligne que ce type d’erreurs montre l’importance de maintenir des processus réguliers de mise à jour des hyperviseurs.

La publication d’une preuve de concept fonctionnelle accentue l’urgence pour les administrateurs et fournisseurs cloud de déployer rapidement les correctifs dès leur disponibilité.

Questions fréquentes

La vulnérabilité affecte-t-elle directement Proxmox VE ?

Non. Le problème se situe dans KVM/x86, provenant du noyau Linux utilisé par Proxmox VE et de nombreuses autres plateformes de virtualisation.

Est-il possible d’échapper d’une VM à l’hôte physique ?

Oui, selon le chercheur, sous certaines conditions, la vulnérabilité peut permettre de compromettre l’hôte depuis une machine virtuelle disposant de privilèges élevés.

QEMU est-il vulnérable lui aussi ?

Non. La documentation indique que le problème réside uniquement dans KVM au sein du noyau Linux, pas dans QEMU.

Que doivent faire les administrateurs ?

Ils doivent mettre à jour le noyau dès que les correctifs seront disponibles, limiter l’utilisation de virtualisation imbriquée si ce n’est pas nécessaire, et suivre les recommandations de sécurité de leur distribution et de leur fournisseur d’hyperviseur.