尊敬的 LuckVM 用户：
近日，Ubuntu 母公司 Canonical 官方披露了一项存在于容器与虚拟机管理工具 Canonical LXD 及私有云平台 MicroCloud 中的最高等级安全漏洞（漏洞编号：CVE-2026-112816），其 CVSS v4.0 评分高达满分 10.0 分（Critical 严重级别）。
由于攻击者无需密码或私钥即可利用该漏洞远程接管整个容器/虚拟机集群乃至获取宿主机 root 最高权限，LuckVM 安全运维团队特此向所有在云服务器（Cloud VPS）、独立物理服务器及裸机宿主机上运行 Ubuntu / Linux 环境的客户发布紧急排查与修复指南。
一、 漏洞核心内容与产生原因
-
漏洞编号与评级： CVE-2026-112816（CWE-295：证书验证不当），CVSS v4.0 10.0（最高危）。
-
漏洞产生原因（证书链验证逻辑缺陷）： 正常情况下，通过网络远程管理 LXD 需要经过严格的双向 TLS（mTLS）客户端证书验证，只有证书链中的第一张证书（叶子证书/Leaf Certificate）能证明客户端真正持有对应的私钥。 但在受影响的 LXD 版本中，HTTPS 监听器会将客户端发来的整条证书链中的每一张证书都拿去和本地信任库（Trust Store）进行比对。这意味着：未经身份验证的攻击者无需知道密码，也无需窃取私钥，只需获取到任意受信任客户端的“公开证书（Public Certificate）”，将其拼接到自己伪造的证书链后端，即可直接绕过身份验证并冒充该受信任客户端登录！在 MicroCloud 环境中，攻击者甚至可以通过拦截新节点加入集群时的公开证书直接冒充集群成员。
-
成功利用后果： 攻击者可直接接管整个 LXD / MicroCloud 集群管理权限，任意控制、篡改或删除集群内的所有容器与虚拟机，并可进一步提权获取底层宿主机的
root权限。
二、 哪些用户受影响？（请先对号入座）
-
LuckVM 平台底层安全声明： LuckVM 的云服务器底层虚拟化架构、独立物理机及官方提供的 Proxmox VE（PVE）/ VMware 多 IP 宿主机 均不依赖受影响的 LXD 组件，平台底层绝对安全。
-
不受影响的用户： 仅在服务器上使用 Docker、Proxmox VE（PVE）自带 LXC 容器，或虽安装了 LXD 但未开启远程 HTTPS API 监听（默认仅监听本地 Unix Socket）的用户，不受本次远程网络攻击影响。
-
高危受影响用户与版本： 在 Ubuntu 或其他 Linux 服务器上使用 LXD（且配置了
core.https_address开启远程 API 访问）或使用 MicroCloud 部署集群，且运行在以下版本区间的用户：
| 受影响产品分支 | 受影响的高危版本范围 | 官方已修复的安全版本 |
| Canonical LXD 6.x (LTS) | >= 6.9.0 且 |
LXD |
| Canonical LXD 5.21 (LTS) | >= 5.21.8 且 |
LXD |
| Canonical LXD 5.0 (LTS) | >= 5.0.10 且 |
LXD |
| Canonical LXD 4.0 (LTS) | >= 4.0.14 且 |
LXD |
| Canonical MicroCloud | MicroCloud 2 与 3 系列受影响版本 |
同步更新至最新 Snap 修复版 |
(注：如果您使用的是 LXD 的开源社区分支 Incus，该项目同样存在对应的证书链验证漏洞 GHSA-xg75-xf37-cph9，请一并升级。)
三、 用户端完整修复方法（4步立即加固）
第一步：操作前在控制台创建快照备份 如果您在 LuckVM 云服务器上运行了重要的 LXD 容器业务，请先登录 LuckVM 控制台 创建一份 快照备份（Snapshot），确保业务数据万无一失。
第二步：通过 Snap 立即升级 LXD 与 MicroCloud（注意：不要用 apt！） Canonical 官方是通过 Snap 包管理器分发和维护 LXD 的，单纯执行 apt update && apt upgrade 无法修复此漏洞。请通过 SSH 登录您的服务器并执行以下命令：
sudo snap refresh lxd
如果您同时使用了 MicroCloud，请一并执行：
sudo snap refresh microcloud
第三步：【关键核查】确认版本号是否真正升至安全版本 根据安全机构最新监测，部分旧分支（如 5.21、5.0、4.0 的 stable 稳定通道）可能存在 Snap 商店构建推送延迟，或者您的系统曾设置过更新推迟（refresh hold）。因此执行完刷新命令后，必须运行以下命令核对当前版本号：
snap list lxd
请务必确认输出的 Version 已达到 6.10.1、5.21.9、5.0.11 或 4.0.15。
第四步：检查并关闭/限制 HTTPS 远程监听端口（核心防线） 如果您的版本因通道延迟暂未获取到补丁，或者您希望彻底消除公网暴露面，请立即检查 LXD 是否开启了 HTTPS 网络监听：
lxc config get core.https_address
-
如果您只是单机使用 LXD，不需要远程 API 管理： 请立即移除该配置，使 LXD 仅监听本地 Unix Socket，从而彻底免疫远程攻击：
Bashlxc config unset core.https_address -
如果您运行的是多节点集群，必须保留 HTTPS 监听： 请立即使用防火墙（UFW / iptables）严格限制 LXD 监听端口（默认为
8443），仅允许集群内部受信任节点的 IP 访问，严禁对公网0.0.0.0/0开放，同时执行lxc config trust list审计并清理信任库中不明或过期的客户端证书。
如您在升级虚拟化环境或配置防火墙规则时需要任何协助，请随时通过 LuckVM 控制台提交技术工单，我们的工程师团队 7×24 小时为您服务。
LuckVM 安全与运维团队
