內文
企業以 LXD、MicroCloud 管理容器、虛擬機與叢集時，管理 API 的信任設定直接影響宿主機安全。攻擊者若可連線至受影響 HTTPS 服務並取得受信任身分的公開憑證，可能冒用該身分；具備足夠權限時，影響可延伸至宿主機 root。
Canonical CNA 於 2026/10/30 公布 CVE-2026-112816，CVSS v4.0 10.0；Canonical 11/04 的 GHSA 另列 CVSS v3.1 10.0。攻擊不需受信任身分的私鑰，伺服器公開憑證也可在 TLS 交握取得。
- 01
API 可達與公開憑證
攻擊者可接觸 HTTPS listener，取得受信任公開憑證
- 02
憑證鏈被錯誤信任
特製憑證鏈通過受影響的驗證邏輯
- 03
冒用管理身分
操作範圍取決於被冒用身分的權限
- 04
叢集與主機受影響
可能改動容器、虛擬機、叢集及宿主機
受影響版本與更新基準
- LXD CNA 受影響範圍：4.0.14 至未滿 4.0.15、5.0.10 至未滿 5.0.11、5.21.8 至未滿 5.21.9、6.9.0 至未滿 6.10.1。
- Canonical Snap 公告修補版：LXD 4.0.15、5.0.11、5.21.9、6.10.1；MicroCloud 2.1.5、3.4.1。請按現用分支與通道更新至適用修補版或更新版本。
- LXD GHSA 將 6.10.0 也列為修補版，與 CNA 範圍不同。6/stable 請採 Snap 公告的 6.10.1 作為更新基準，並確認實際安裝結果。
- Incus 另以 GHSA-xg75-xf37-cph9 公告同類問題，7.6.0 以前受影響，7.6.0 起修補；CVSS v3.1 10.0，公告未列 CVE 編號。
先限制 HTTPS 管理入口，再完成更新。管理入口可達範圍與公開憑證取得條件需要一起檢視；來源限制可降低曝險，但不能替代更新。
- 01
限縮管理入口
盤點正式、備援、委外及雲端節點，限制 HTTPS 管理 API 僅供必要可信來源，隔離管理網段與維運路徑。
看看能怎麼應對2項資源
TWISA 會員方案
限縮管理入口
盤點正式、備援、委外及雲端節點，限制 HTTPS 管理 API 僅供必要可信來源，隔離管理網段與維運路徑。
- 02
逐節點更新
按產品與 Snap 通道更新，確認實際安裝版號、叢集一致性及業務功能；保存原設定及可還原備份。
看看能怎麼應對1項資源
TWISA 會員方案
逐節點更新
按產品與 Snap 通道更新，確認實際安裝版號、叢集一致性及業務功能；保存原設定及可還原備份。
- 03
調查管理活動
保全管理 API、主機、網路與信任清單紀錄，檢視憑證信任、叢集成員及工作負載異動。
看看能怎麼應對2項資源
TWISA 會員方案
調查管理活動
保全管理 API、主機、網路與信任清單紀錄，檢視憑證信任、叢集成員及工作負載異動。
- 04
復原並驗證權限
有入侵跡象時先保全證據，再隔離與可信重建，輪替受影響憑證，複驗容器、虛擬機、備份與管理權限。
看看能怎麼應對2項資源
TWISA 會員方案
復原並驗證權限
有入侵跡象時先保全證據，再隔離與可信重建，輪替受影響憑證，複驗容器、虛擬機、備份與管理權限。
盤點所有 listener、Snap 通道、節點、信任憑證與管理身分
業務連線依授權放行，各層分別落實防護
- 01
管理入口
可信維運來源與管理網段
限制可達範圍來源允許清單、VPN 與網段隔離
- 02
運算與叢集
LXD、MicroCloud、Incus
更新並管控權限逐節點修補、最小管理權限與備份
- 03
核心工作負載
容器、虛擬機與宿主機資料
降低影響並復原檢視存取邊界，依調查結果可信重建
各層日誌與流量，送往監控與應變流程
- 監控與復原管理 API、主機與網路紀錄送集中監控；保存信任及成員變更，驗證備份可用性。
主動測試與複驗
在授權範圍內進行資產探測、弱點掃描、滲透、API 測試與攻擊模擬，確認管理來源限制、版號、信任與叢集隔離，再複測。主機及內網權限需獨立驗證。
TWISA 會員方案
對應「限縮管理入口」
適用優惠：眾至資訊「新世代防火牆NU-6000」可用於管理入口的來源限制與受控 VPN 維運。TWISA 會員至 2026/12/31 可用代碼 TWISA2026_ShareTech 申請 95 折，並提供一年 AI IPS、AI Sandstorm 防禦及 30 個月硬體保固，請透過原廠表單申請。此處採網路來源控制用途，實際規則須按部署設定。
盤點正式、備援、委外及雲端節點，限制 HTTPS 管理 API 僅供必要可信來源，隔離管理網段與維運路徑。
對應「逐節點更新」
按產品與 Snap 通道更新，確認實際安裝版號、叢集一致性及業務功能；保存原設定及可還原備份。
對應「調查管理活動」
保全管理 API、主機、網路與信任清單紀錄，檢視憑證信任、叢集成員及工作負載異動。
對應「復原並驗證權限」
有入侵跡象時先保全證據，再隔離與可信重建，輪替受影響憑證，複驗容器、虛擬機、備份與管理權限。
官方來源
歡迎洽詢各會員，取得更詳細的產品與服務介紹及說明。
通報更新日期：2026/11/06。產品支援與修補狀態以原廠最新資料為準。