W rozwiązaniach LXD oraz MicroCloud od Canonical odkryto krytyczną lukę (CVE-2026-112816) o maksymalnej ocenie CVSS 10.0. Błąd dotyczy mechanizmu weryfikacji certyfikatów podczas uwierzytelniania mutual TLS (mTLS). Atakujący może podszyć się pod zaufanego klienta, dołączając jego publiczny certyfikat do własnego łańcucha certyfikatów, co oszukuje serwer podczas sprawdzania zaufanych tożsamości.
Skutki udanego ataku mogą być katastrofalne. Napastnik zyskuje dostęp do klastra oraz maszyn wirtualnych, a w przypadku przejęcia uprawnionego konta, może uzyskać pełny dostęp roota do maszyny hosta. Luka jest szczególnie istotna w środowiskach MicroCloud, gdzie atakujący może przejąć tożsamość węzła podczas dołączania do klastra.
Obecnie nie ma dowodów na to, by luka została wykorzystana w rzeczywistym ataku. Aby się chronić, należy niezwłocznie zaktualizować LXD i MicroCloud do wersji naprawczych dostarczanych przez Canonical (poprzez snap). W przypadku LXD zaleca się również ograniczenie dostępu sieciowego do API HTTPS, co stanowi jedyną dostępną formę mitygacji przed aktualizacją.
