В платформах для управления контейнерами и виртуальными машинами обнаружили CVE-2026-112816. Ошибка позволяет выдавать себя за доверенного клиента без закрытого ключа и получать доступ к облачной инфраструктуре.
Причина в неправильной проверке цепочки TLS-сертификатов. Сервер может принять публичный сертификат доверенного клиента, добавленный в чужую цепочку. В зависимости от привилегий подменённой учётной записи атакующий способен получить полный контроль над хостом.
Canonical уже выпустила исправления для затронутых версий. Для снижения риска необходимо проверить версии LXD и MicroCloud, установить обновления и ограничить доступ к HTTPS API. Подтверждённых случаев эксплуатации пока нет.