Cloudflare ha corregido una vulnerabilidad crítica que permitía la exposición de datos entre inquilinos en su plataforma de contenedores. El 4 de septiembre de 2026, Oren Yomtov, investigador de seguridad de Accomplish, reportó responsablemente el fallo a través del programa de recompensas de Cloudflare. La vulnerabilidad, que afectaba a Cloudflare Containers y Sandboxes, permitía a un cliente con cuenta Workers Paid recuperar bloques de disco residuales utilizados previamente por otros clientes en el mismo host físico.
El fallo se debía a la configuración de 'skip_block_zeroing' en el sistema de asignación de dispositivos de Linux (dm-thin). Al desactivar la limpieza de bloques antes de su asignación, los datos residuales de contenedores anteriores podían persistir en bloques de 64 KiB reasignados. Aunque la técnica no permitía seleccionar a una víctima específica ni modificar datos activos, el riesgo de fuga de metadatos de sistemas de archivos, estructuras de directorios y bases de datos era significativo.
Para mitigar el problema, Cloudflare eliminó la opción de skip_block_zeroing en toda la flota de contenedores. Además, la empresa retiró todos los discos de contenedores en ejecución y los snapshots de imágenes en caché creados antes de la corrección, reiniciando las máquinas virtuales durante horas de baja actividad. Según los investigadores, la técnica dejó de funcionar tras la implementación de estas medidas, confirmando que no se había comprometido ningún dato de clientes reales.