Canonical نبهات الأدمنز وفرق DevOps على ثغرة كريتيك كتمس LXD وMicroCloud. الثغرة عندها المعرف CVE-2026-112816، وكتهم طريقة الأوتونتيفيكاسيون ديال API HTTPS. إلى كان المهاجم قادر يوصل للـ API ديال LXD من الشبكة، يقدر ينتحل هوية client TLS موثوق.
المشكل كاين فطريقة التحقق من سلاسل certificates ديال clients. حسب advisory ديال Canonical، منطق الأوتونتيفيكاسيون عن طريق mutual TLS كان كيقارن جميع certificates اللي كيصيفطهم الclient مع entries معروفين فـ trust store. ولكن غير leaf certificate، يعني الشهادة الأخيرة فالسلسلة، هي اللي كتثبت باللي الclient مالك clé de signature. بهاد الطريقة، مهاجم يقدر يحط public certificate ديال client موثوق كشهادة intermédiaire فـ chain مصاوبة باش تدوز من التحقق.
الخطر كبير خصوصا فالبنيات اللي كتعتمد على الcontainers والvirtualisation. المهاجم يقدر يولي موثوق عند daemon ديال LXD ولا MicroCloud باستعمال هوية ديال user آخر. وعلى حساب الصلاحيات ديال هاد الuser، الهجوم يقدر يوصل حتى لـ root access فالهوسط. GitHub Advisory Database صنفات الثغرة critical بسكور CVSS ديال 10.0 من 10، وكتشير حتى لإمكانية الوصول الكامل للcluster وللـ virtual machines اللي كيدبرهم.
الإصدارات اللي تصلحات فـ LXD هي 4.0.15 و5.0.11 و5.21.9 و6.10.1، وخرجو نهار 29 أكتوبر 2026 فالقنوات ديالهم. بالنسبة لـ MicroCloud، Canonical خرجات 2.1.5 و3.4.1 فنفس التاريخ. أما advisory ديال CVE تزاد فـ GitHub Advisory Database نهار 30 أكتوبر 2026.
التوصية واضحة: ديرو update لـ LXD وMicroCloud بلا تأخير باستعمال آخر version متوفر فـ Snap channel ديال كل واحد، مثلا sudo snap refresh lxd وsudo snap refresh microcloud. وخص فرق DevOps يتأكدو من version اللي خدامة فعليا فكل node، حيث point releases ديال LXD كانو كيدوزو تدريجيا من candidate لـ stable. والـ APIs اللي محلولين للشبكة، مع certificates الموثوقين الحاليين، خاصهم أولوية فالمراجعة.
