Google ha recompensado con 250.000 dólares a un investigador que descubrió una vulnerabilidad de alta severidad en KVM, el sistema de virtualización integrado en el kernel de Linux, que permite a máquinas virtuales invitadas escapar de su entorno y obtener acceso root en la máquina anfitriona. Catalogada como CVE-2026-53359 y bautizada como Januscape, la falla afecta a KVM tanto en procesadores AMD como Intel y permaneció sin ser detectada durante 16 años en el kernel de código abierto.
El fallo es de tipo use-after-free y reside en la emulación del shadow MMU, el mecanismo que traduce direcciones de memoria entre el hipervisor y la máquina virtual. Un atacante que controle una VM invitada, por ejemplo en una plataforma de nube pública, podría provocar la caída del kernel anfitrión (DoS) o ejecutar código con privilegios de root sobre el host y todas las demás máquinas virtuales del mismo servidor (RCE). El investigador Hyunwoo Kim publicó una prueba de concepto que, ejecutándose en una VM invitada, provoca el bloqueo del sistema anfitrión, y afirmó que existe un exploit con escape completo del invitado, aunque no lo hará público hasta un futuro muy lejano.