重要ポイント
- 何が起きたか: Canonical の LXD と MicroCloud で、証明書チェーンの検証の不備により、信頼済みクライアントに成り済ませる脆弱性(CVE-2026-112816)が見つかりました。
- 深刻度: CVSS 10.0(最大)。ただしネットワーク API(HTTPS)を有効にしている環境が対象です。
- 悪用の状況: 2026年11月1日時点で、悪用の確認や攻撃コードの公開は報告されていません(CISA の KEV にも未掲載)。
- 対処: 修正版は LXD 6.10.1・5.21.9・5.0.11・4.0.15、MicroCloud 3.4.1・2.1.5。
- 公開日: 2026年11月1日(報道)。
バージョンと対処(まずここを確認)
| 製品(スナップのチャンネル) | 影響を受けるバージョン | 修正版(これ以上にする) |
|---|---|---|
| LXD 6(6/stable) | 6.9 まで(CVE の記載) | 6.10.1 |
| LXD 5.21(5.21/stable) | 5.21.8 まで | 5.21.9 |
| LXD 5.0(5.0/stable) | 5.0.10 まで | 5.0.11 |
| LXD 4.0(4.0/stable) | 4.0.14 まで | 4.0.15 |
| MicroCloud 3 | 公式情報で未公表 | 3.4.1 |
| MicroCloud 2 | 公式情報で未公表 | 2.1.5 |
| Incus(コミュニティ版の派生) | 7.6.0 より前 | 7.6.0 |
対処: スナップで入れている場合は sudo snap refresh lxd、MicroCloud は sudo snap refresh microcloud で更新します。Canonical は、修正版の一部がまだ candidate から stable に移行中だったと説明しているため、更新後にバージョンを必ず確かめてください。一時的な回避策は示されておらず、API に届く範囲を絞ることでリスクを下げられます。
確認: lxc version または snap list lxd でバージョンを確認します。lxc config get core.https_address に値があれば、ネットワーク API が有効です。
概要
コンテナ・仮想マシンの管理ツール LXD と、それを使ったクラスタ基盤 MicroCloud に、認証回避の脆弱性(CVE-2026-112816)が見つかりました。CVSS は最大の 10.0 です。ネットワーク API を公開していなければ影響を受けにくいため、まず自分の環境で API を有効にしているかを確かめ、修正版に更新してください。
影響と対処
影響を受けるもの
LXD の 4.0・5.0・5.21・6 系列と、MicroCloud です。LXD の単体のサーバーは、core.https_address でネットワーク API を有効にしないかぎり、ローカルのソケットだけで待ち受けます。Ubuntu のアーカイブで配られる LXD のパッケージは、影響なしまたは提供なしとされています。
どんな問題か
サーバーはクライアントが送った証明書をすべて信頼済みの一覧と照らし合わせますが、TLS のハンドシェイクで本人の証明になるのは先頭の証明書(リーフ証明書)だけです。そのため、信頼済みクライアントの公開証明書を自分の証明書チェーンに含めると、そのクライアントとして受け入れられてしまいます。悪用には、HTTPS API に届くネットワークと、信頼済みクライアントの公開証明書が必要です。MicroCloud では、クラスタに参加するメンバーの公開証明書が取得されると、そのメンバーとしてログインされるおそれがあります。
対処方法
上の表の修正版に更新します。更新までの間は、LXD の API を待ち受けるネットワークを信頼できる範囲に限定してください。Incus を使っている場合は 7.6.0 に更新します(ほかに 17 件のセキュリティ修正を含みます)。
確認方法
snap list lxd microcloud でバージョンを確認し、上の表の修正版以上であることを確かめます。ネットワーク API を使っていない環境でも、将来有効にする前に更新しておくと安心です。
対応チェックリスト
- LXD・MicroCloud・Incus を使っているか確認する
- ネットワーク API(
core.https_address)が有効か確認する - 修正版(LXD 6.10.1 / 5.21.9 / 5.0.11 / 4.0.15、MicroCloud 3.4.1 / 2.1.5)に更新する
- API に届くネットワークを必要な範囲に絞る
出典
- CVSS 10.0 LXD, MicroCloud Flaw Lets Attackers Impersonate Trusted Clients Without a Private Key(The Hacker News、2026年11月1日)
