Vercel confirma KVM Zero-Day VM Escape, premia al investigador con 50.000 $

Vercel ha confirmado una vulnerabilidad de zero-day de KVM después de que el investigador de seguridad Paulos Yibelo informara de un escape completo de la máquina virtual que, según él, permite que el código dentro de un invitado obtenga acceso root en el host. ¡Día cero de escape completo de VM (invitado> raíz de host en hipervisores estándar de la industria)!

Más pronto pic.twitter.com/dt9AsDO0De – Paulos Yibelo (@ PaulosYibelo) 3 de octubre de 2026 El descubrimiento se produjo a través del programa de recompensas por errores Vercel Sandbox, lo que generó inquietudes sobre un límite de seguridad utilizado para contener cargas de trabajo no confiables y agentes de IA. Yibelo anunció el hallazgo el 3 de octubre de 2026, describiéndolo como un "día cero de escape completo de VM" que involucra "huésped> raíz de host" en hipervisores estándar de la industria. El CEO de Vercel, Guillermo Rauch, confirmó por separado un KVM de zero-day y dijo que seguiría un informe técnico completo. KVM Zero-Day VM Escape Una notificación de recompensas compartida con el anuncio muestra a Vercel otorgando a Yibelo $ 50,000, el pago máximo del programa por un informe.

Su categoría crítica incluye los escapes de microVM a un host EC2 y el acceso a los datos o la ejecución de código de otro cliente. La publicación Vercel Confirms KVM Zero-Day VM Escape, Awards Researcher $ 50,000 apareció por primera vez en Cyber Security News.

Consultar publicación original ↗