【重大資安警訊】Ubuntu LXD 與 MicroCloud 爆出 CVSS 10.0 滿分身分驗證繞過漏洞（CVE-2026-112816）風險剖析與修補指南

親愛的 LuckVM 客戶您好：

Ubuntu 背後母公司 Canonical 於近日緊急發布最高等級資安通報，揭露旗下開源容器與虛擬機管理工具 Canonical LXD 以及私有雲平台 MicroCloud 存在一項極度危險的憑證驗證漏洞（編號：CVE-2026-112816），其 CVSS v4.0 嚴重性評分高達滿分 10.0 分（Critical 嚴重等級）。

攻擊者無須取得密碼或私鑰，即可利用此漏洞透過網路繞過身分驗證，全面接管 LXD 叢集、操控所有受管容器與虛擬機，甚至取得底層宿主機之 root 最高權限。為保障您在 LuckVM 台灣、香港及全球節點雲端主機（VPS）與專屬實體伺服器上的容器化與虛擬化環境安全，LuckVM 資安維運團隊特此提供完整漏洞說明與修補步驟。

一、 漏洞內容與發生原因（CWE-295 憑證鏈驗證缺陷）

• 漏洞識別碼與評分： CVE-2026-112816（GHSA-99jp-jwmc-65p4），CVSS v4.0 10.0 分。

• 技術成因剖析： 遠端客戶端連線至 LXD 的 HTTPS API 時，預設採用雙向 TLS（mTLS）進行客戶端憑證驗證；在正常密碼學驗證邏輯下，僅有憑證鏈中的第一張憑證（Leaf 葉子憑證）能證明連線端確實持有對應的私鑰。 然而，受影響版本的 LXD 在驗證過程中，會將客戶端傳送之憑證鏈中的所有憑證逐一與信任儲存庫（Trust Store）進行比對。這導致一項致命缺陷：未經授權的攻擊者無須破解密碼，亦無須竊取私鑰，只要取得任一受信任客戶端的「公開憑證（Public Certificate）」，將其附加於自製的偽造憑證鏈後段，即可直接通過驗證並冒充該受信任客戶端登入。此外，在 MicroCloud 叢集環境中，攻擊者亦可透過攔截新節點加入叢集時的公開憑證來冒充叢集成員。

二、 受影響範圍與平台安全聲明

1. LuckVM 基礎架構與不受影響之用戶： LuckVM 雲端主機底層虛擬化平台、專屬實體伺服器以及 Proxmox VE（PVE）/ VMware 虛擬化主機 皆不受此漏洞影響。若您的伺服器僅使用 Docker、Proxmox VE 內建之 LXC 容器，或您的 LXD 維持預設狀態（僅監聽本機 Unix Socket，未啟用遠端 HTTPS API），則不會暴露於此遠端攻擊風險中。

2. 受影響之高風險環境與版本： 凡於伺服器上部署 LXD（且設定了 core.https_address 對外監聽 HTTPS API）或使用 MicroCloud 建置私有雲叢集，並運行以下版本之系統皆受影響：

   • Canonical LXD 6.x： 6.9.0 至 6.10.0（已於 6.10.1 修補）

   • Canonical LXD 5.21： 5.21.8（已於 5.21.9 修補）

   • Canonical LXD 5.0： 5.0.10（已於 5.0.11 修補）

   • Canonical LXD 4.0： 4.0.14（已於 4.0.15 修補）

   • Canonical MicroCloud： MicroCloud 2 與 3 受影響分支

三、 客戶端完整修補與資安加固步驟

請貴公司 MIS 與維運團隊立即依循以下四個步驟完成環境更新與防護：

步驟一：透過 Snap 執行套件更新（請勿僅使用 apt） Canonical 官方係透過 Snap 封裝並發佈 LXD 更新（Ubuntu 傳統 apt 套件庫並不包含此修補）。請先於 LuckVM 會員主控台 為雲端主機建立 快照備份（Snapshot） 後，透過 SSH 執行以下指令更新 LXD 與 MicroCloud：

sudo snap refresh lxd
sudo snap refresh microcloud

步驟二：【重要】確認實際安裝版本號（防範 Snap 通道延遲） 根據資安機構截至 10月31日 之檢測顯示，雖然 6/stable 通道已正常派送 6.10.1，但 5.21、5.0 與 4.0 的 stable 穩定通道可能仍停留在舊版建置，或受主機端的 refresh hold 設定延遲更新（最長可被延遲達 90 天）。請務必在更新後執行以下指令確認版本：

snap list lxd

請確認版本號已確實升級至 6.10.1、5.21.9、5.0.11 或 4.0.15。

步驟三：盤點並關閉/限制 HTTPS API 遠端監聽 請執行以下指令檢查您的 LXD 是否已開啟網路 HTTPS API 監聽：

lxc config get core.https_address

• 若無遠端 API 管理需求（單機部署）： 請立即取消綁定網路位址，讓 LXD 僅監聽本機 Unix Socket，即可完全阻斷遠端攻擊路徑：

  Bash

   

  lxc config unset core.https_address
  

• 若為多節點叢集環境（必須開啟 HTTPS API）： 在確認所有節點皆已升級至修補版本前，請務必透過防火牆（UFW / iptables）嚴格限制可連線至 LXD HTTPS 連接埠（預設為 8443）的來源 IP，僅允許叢集內部節點與跳板機存取，切勿對公網全面開放。

步驟四：稽核憑證信任儲存庫（Trust Store） 請執行 lxc config trust list 檢視目前受信任的所有客戶端憑證，立即撤銷任何不再使用或來源不明的憑證項目，並檢查系統日誌是否有異常的 API 認證紀錄。

如貴公司在執行快照備份、升級虛擬化叢集或設定網路防護規則時需要技術支援，歡迎隨時透過 LuckVM 支援中心提交技術支援服務單。

LuckVM 資安與基礎架構維運團隊 敬上