PwnEscape로 불리는 CVE-2026-99999는 게스트가 보낸 잘못된 체크섬 메타데이터를 호스트 Linux 네트워크 스택이 검증하지 않아 격리가 깨질 수 있는 결함이다. Vercel 운영 샌드박스에서는 호스트 메모리 노출이, 연구자의 KVM과 Firecracker 환경에서는 호스트 중단과 관리자 권한 실행이 재현됐다. 고객 파일이나 비밀정보 접근이 입증됐다는 뜻은 아니다. AlmaLinux는 8, 9, 10의 영향을 확인하고 10월 16일 시험 저장소 패치를 안내했다. 게스트가 아닌 호스트 커널의 수정 상태와 재부팅 필요성을 확인해야 하며, 모든 클라우드가 동일하게 취약하다고 일반화할 수 없다.