佈告欄 ID： 2026-137-AWS
範圍：AWS
內容類型：重要 (需要注意)
發布日期： 2026 年 10 月 15 日上午 10:30 (太平洋夏令時間)

描述：

AWS 注意到 Linux 核心的 virtio-net/TAP 聯網路徑中存在問題 (CVE-2026-99999)，該問題會影響執行未修補 Linux 核心版本 4.4 至 6.18 的 KVM 型 Hypervisor。此問題可能使在訪客虛擬機器內具有特權存取權限的攻擊者得以傳送特製網路封包，破壞主機核心記憶體，進而可能導致主機記憶體洩露或拒絕服務。

AWS 受管運算和容器服務，包含 Amazon EC2 執行個體、AWS Lambda 和 AWS Fargate，均不受此問題的影響。使用這些服務的客戶不需要執行任何動作。

受影響的產品和版本：

在執行受影響且尚未修補之 Linux 核心版本的主機上，使用 virtio-net 和 KVM 自行管理虛擬機器的客戶，包括使用 Firecracker 等虛擬機器監視器的客戶。

解決方案：

Amazon Linux 已發布解決此問題的更新核心套件。如需詳細資訊，請參閱 Amazon Linux 安全建議。下列核心版本或更新版本包含此修正：

• Amazon Linux 2：
  - kernel-4.14.355-287.750.amzn2 (ALAS2-2026-3962)
  - kernel-5.4.302-229.494.amzn2 (ALAS2KERNEL-5.4-2026-131)
  - kernel-5.10.269-270.1108.amzn2 (ALAS2KERNEL-5.10-2026-133)
  - kernel-5.15.220-156.256.amzn2 (ALAS2KERNEL-5.15-2026-117)
• Amazon Linux 2023：
  - kernel-6.1.188-233.385.amzn2023 (ALAS2023-2026-3197)
  - kernel6.12-6.12.110-135.201.amzn2023 (ALAS2023-2026-3196)
  - kernel6.18-6.18.51-120.162.amzn2023 (ALAS2023-2026-3192)

AWS 建議在 Amazon Linux 上使用 virtio-net 和 KVM 自我管理虛擬機器的客戶將更新的核心套件套用至其主機系統並重新啟動。如需更新 Amazon Linux 2023 的指引，請參閱管理 AL2023 中的套件和作業系統更新。如需更新 Amazon Linux 2 的指引，請參閱更新 AL2 執行個體上的執行個體軟體。使用其他 Linux 發布版本的客戶應套用作業系統廠商提供的核心更新。

變通方法：

此問題並無變通方法。若要解決此問題，請套用上面列出的更新核心套件。

參考資料：

• CVE-2026-99999

致謝：

我們誠摯感謝 pwn.ai 的 Paulos Yibelo 透過協調式漏洞揭露流程，與我們合作處理此問題。

如有任何安全性問題或疑慮，請傳送電子郵件至 aws-security@amazon.com 。