安全研究员 Paulos Yibelo 声称发现了一个针对 Linux KVM 的“完整 VM 逃逸零日漏洞”。该漏洞允许攻击者从客户机虚拟机（Guest VM）获取宿主机（Host）的 root 权限。Yibelo 在 X 平台上展示了其获得漏洞赏金的截图，并指出这一缺陷存在于行业标准虚拟机管理程序中。
目前公开的技术细节极为有限。The Register 未在相关邮件列表中发现关于此漏洞的讨论，且已向 Rauch 和 Yibelo 寻求更多详情，但截至发稿时尚未收到回复。
客户机-宿主机逃逸被视为虚拟化领域最严重的安全威胁之一。此类漏洞可能导致运行客户机 VM 的用户接管整个服务器，甚至控制同一宿主上的其他客户机。鉴于 KVM 的广泛应用，潜在影响范围巨大：AWS 和 Google 均使用 KVM 支撑其公有云服务；企业虚拟化厂商如 Nutanix、HPE 和 Proxmox 也依赖该技术；此外，开源项目 Firecracker 同样基于 KVM，可能在各类环境中部署。
由于该缺陷的严重性，实施负责任披露至关重要，以防止攻击者利用泄露线索造成破坏。在修复方案方面，KVM 支持热补丁功能，并允许将活跃 VM 从易受攻击的主机迁移至运行修补后 Linux 版本的机器上，从而避免服务中断或停机。
这被认为是今年继所谓的 Januscape 漏洞之后，在 KVM 中发现的第二个严重漏洞。观察人士指出，考虑到该缺陷的高风险等级，Yibelo 获得的奖励理应超过 Vercel 漏洞赏金计划设定的 5 万美元上限。
