Linuxカーネルの脆弱性CVE-2026-99999（PwnEscape）が公表され、仮想化環境のホスト側へ影響する恐れから、クラウド事業者は新規受付の一時停止などの対応を取っている。瞬時の無停止パッチ適用とEOL環境の維持が検討課題となっている。
2026年10月21日に公開されたLinuxカーネルの深刻な脆弱性CVE-2026-99999（通称PwnEscape）は、仮想化基盤のネットワーク処理に関与する境界外メモリ書き換えの脆弱性で、ゲストOS間の影響を超えてホスト側へ攻撃が波及する可能性がある。CVSSスコアは高く、仮想マシンの乗っ取りやホストメモリ情報の漏洩、サービス停止のリスクが指摘されている。
この脆弱性のため、国内の大手クラウド事業者は新規環境の受付を停止するなどの対応を実施した。さくらインターネットは2026年10月16日に影響調査と対策のため新規受付とスケールアップ機能の停止を発表しており、マルチテナント環境での分離構造が脅かされる点が大きな要因となっている。
現場の課題として、OS再起動を伴うカーネル更新の影響範囲と、サポート終了OS（EOL）の継続利用に伴う修正パッチ提供の不確実性が挙げられる。特に複数VMが動作する仮想ホストの再起動やメンテナンス窓の確保は運用コストを大きく押し上げる可能性がある。
サイバートラストは対策として、OSを再起動せずにカーネルを修正するLinuxライブパッチサービスと、EOL環境向けの延長サポート（CentOS延長サポートLITE、AlmaLinux ESUなど）を提供している。これにより稼働中のサーバーを停止させずに脆弱性を緩和する手段を提示している。