脆弱性情報2026年11月6日（金）
LXD と MicroCloud：管理 API への接続元を制限し、証明書検証の不備を修正
LXD、MicroCloud、Incus の管理サービスにある証明書チェーン検証の不備により、接続可能な攻撃者が信頼された ID になりすまし、コンテナ、仮想マシン、ホストに影響を及ぼす可能性があります。製品のブランチに応じて更新し、管理設定と信頼設定を確認してください。
本文
企業が LXD や MicroCloud でコンテナ、仮想マシン、クラスターを管理する場合、管理 API の信頼設定はホストの安全性に直結します。攻撃者が影響を受ける HTTPS サービスに接続でき、信頼された ID の公開証明書を入手すると、その ID になりすませる可能性があります。なりすました ID に十分な権限がある場合、影響はホストの root 権限に及ぶ可能性があります。
Canonical CNA は 2026/10/30 に CVE-2026-112816 を公開し、CVSS v4.0 を 10.0 と評価しています。Canonical の 11/04 の GHSA では、CVSS v3.1 も 10.0 とされています。攻撃に信頼された ID の秘密鍵は不要で、サーバーの公開証明書は TLS ハンドシェイクでも入手できます。
- 01
API への接続と公開証明書の入手
攻撃者が HTTPS listener に接続し、信頼された公開証明書を入手
- 02
証明書チェーンを誤って信頼
細工された証明書チェーンが、影響を受ける検証処理を通過
- 03
管理 ID へのなりすまし
操作できる範囲は、なりすました ID の権限に依存
- 04
クラスターとホストへの影響
コンテナ、仮想マシン、クラスター、ホストが変更される可能性
影響を受けるバージョンと更新の基準
- LXD CNA が示す影響範囲：4.0.14 以上 4.0.15 未満、5.0.10 以上 5.0.11 未満、5.21.8 以上 5.21.9 未満、6.9.0 以上 6.10.1 未満。
- Canonical の Snap 公告に記載された修正版：LXD 4.0.15、5.0.11、5.21.9、6.10.1、MicroCloud 2.1.5、3.4.1。使用中のブランチとチャネルに応じ、該当する修正版またはそれ以降のバージョンに更新してください。
- LXD の GHSA では 6.10.0 も修正版に含まれ、CNA の範囲とは異なります。6/stable では Snap 公告の 6.10.1 を更新基準とし、実際にインストールされたバージョンを確認してください。
- Incus は同種の問題を GHSA-xg75-xf37-cph9 で別途公表しています。7.6.0 未満が影響を受け、7.6.0 以降で修正されています。CVSS v3.1 は 10.0 で、公告に CVE 番号の記載はありません。
まず HTTPS 管理エンドポイントへの接続を制限し、その後、更新を完了してください。管理エンドポイントに接続できる範囲と、公開証明書を入手できる条件を併せて確認する必要があります。接続元の制限は露出の低減に役立ちますが、更新の代わりにはなりません。
- 01
管理エンドポイントへの接続を制限
本番、待機系、委託先、クラウドの各ノードを把握し、HTTPS 管理 API への接続元を必要な信頼できるものに限定してください。管理ネットワークと運用経路を分離してください。
対応策を見る関連情報 2件
TWISA会員企業の対策
管理エンドポイントへの接続を制限
本番、待機系、委託先、クラウドの各ノードを把握し、HTTPS 管理 API への接続元を必要な信頼できるものに限定してください。管理ネットワークと運用経路を分離してください。
- 02
ノードごとに更新
製品と Snap チャネルに応じて更新し、実際のバージョン、クラスター内の整合性、業務機能を確認してください。元の設定と復元可能なバックアップを保存してください。
対応策を見る関連情報 1件
TWISA会員企業の対策
ノードごとに更新
製品と Snap チャネルに応じて更新し、実際のバージョン、クラスター内の整合性、業務機能を確認してください。元の設定と復元可能なバックアップを保存してください。
- 03
管理操作を調査
管理 API、ホスト、ネットワーク、信頼リストの記録を保全し、証明書の信頼設定、クラスターのメンバー、ワークロードの変更を確認してください。
対応策を見る関連情報 2件
TWISA会員企業の対策
管理操作を調査
管理 API、ホスト、ネットワーク、信頼リストの記録を保全し、証明書の信頼設定、クラスターのメンバー、ワークロードの変更を確認してください。
- 04
復旧と権限の検証
侵入の兆候がある場合は、まず証拠を保全してから隔離し、信頼できる状態から再構築してください。影響を受けた認証情報を更新し、コンテナ、仮想マシン、バックアップ、管理権限を再検証してください。
対応策を見る関連情報 2件
TWISA会員企業の対策
復旧と権限の検証
侵入の兆候がある場合は、まず証拠を保全してから隔離し、信頼できる状態から再構築してください。影響を受けた認証情報を更新し、コンテナ、仮想マシン、バックアップ、管理権限を再検証してください。
すべての listener、Snap チャネル、ノード、信頼する証明書、管理 ID を把握
許可された業務通信のみを通し、各層で防御を行います。
- 01
管理エンドポイント
信頼できる運用元と管理ネットワーク
接続可能な範囲を制限接続元の許可リスト、VPN、ネットワーク分離
- 02
計算基盤とクラスター
LXD、MicroCloud、Incus
更新と権限の管理ノードごとの修正、管理権限の最小化、バックアップ
- 03
重要なワークロード
コンテナ、仮想マシン、ホストのデータ
影響の低減と復旧アクセス境界を確認し、調査結果に応じて信頼できる状態から再構築
各層のログと通信データを集約し、監視と対応に活用します。
- 監視と復旧管理 API、ホスト、ネットワークの記録を集中監視に送信してください。信頼設定とメンバーの変更記録を保存し、バックアップが利用できることを検証してください。
能動的なテストと再検証
許可された範囲内で資産探索、脆弱性スキャン、ペネトレーションテスト、API テスト、攻撃シミュレーションを行い、管理 API の接続元制限、バージョン、信頼設定、クラスターの分離を確認して再テストしてください。ホストと内部ネットワークの権限は別途検証する必要があります。
TWISA 会員ソリューション
「管理エンドポイントへの接続を制限」に対応
対象特典：眾至資訊の「新世代防火牆NU-6000」は、管理エンドポイントの接続元制限と、管理された VPN 運用に利用できます。TWISA 会員は 2026/12/31 まで、コード TWISA2026_ShareTech を使用して通常価格の 95％ で申し込めます。一年間の AI IPS、AI Sandstorm 防御と 30 か月のハードウェア保証も提供されます。メーカーのフォームからお申し込みください。ここではネットワーク接続元の制御を用途としており、実際のルールは導入環境に合わせて設定する必要があります。
本番、待機系、委託先、クラウドの各ノードを把握し、HTTPS 管理 API への接続元を必要な信頼できるものに限定してください。管理ネットワークと運用経路を分離してください。
「ノードごとに更新」に対応
製品と Snap チャネルに応じて更新し、実際のバージョン、クラスター内の整合性、業務機能を確認してください。元の設定と復元可能なバックアップを保存してください。
「管理操作を調査」に対応
管理 API、ホスト、ネットワーク、信頼リストの記録を保全し、証明書の信頼設定、クラスターのメンバー、ワークロードの変更を確認してください。
「復旧と権限の検証」に対応
侵入の兆候がある場合は、まず証拠を保全してから隔離し、信頼できる状態から再構築してください。影響を受けた認証情報を更新し、コンテナ、仮想マシン、バックアップ、管理権限を再検証してください。
公式情報
- Canonical：LXD と MicroCloud のセキュリティ公告
- Canonical CNA：CVE-2026-112816
- Canonical：LXD 公式 GHSA
- Incus：個別のセキュリティ公告
製品やサービスの詳しい内容については、各会員企業へお問い合わせください。
通知更新日：2026/11/06。製品のサポート状況と修正状況は、メーカーの最新情報をご確認ください。