Canonical dan proyek Incus menerbitkan perbaikan untuk CVE-2026-112816, celah dengan skor CVSS 10,0 di API HTTPS LXD dan MicroCloud. Menurut The Hacker News, kesalahan validasi sertifikat klien membuat penyerang bisa tampil sebagai klien tepercaya tanpa memegang kunci privat milik klien itu. Advisori Canonical terbit pada 28 Oktober 2026, dan hingga artikel ini ditulis belum ada indikasi eksploitasi di dunia nyata.
Apa yang bermasalah dan siapa yang terdampak
Pencatat keamanan Ubuntu menggambarkan masalahnya sebagai validasi sertifikat yang tidak tepat pada HTTPS listener LXD. Penyerang yang bisa menjangkau API itu dan sudah memegang sertifikat publik milik klien tepercaya dapat berotentikasi sebagai klien tersebut. Akibatnya, ia bisa mengakses cluster dan mesin virtual yang dikelola. Di MicroCloud, titik rawannya ada saat anggota cluster baru bergabung, ketika sertifikat TLS publik cluster berpotensi dicegat.
Proyek Incus, cabang LXD yang dikelola komunitas, menerbitkan advisori GHSA-xg75-xf37-cph9 pada 29 Oktober 2026 dengan skor CVSS 10,0. Semua versi Incus sebelum 7.6.0 terdampak, dan masalahnya disebut sudah ada sejak rilis awal. Canonical lalu mengonfirmasi bahwa LXD juga terdampak. Skor 10,0 itu berasal dari advisori Incus, sedangkan halaman Ubuntu untuk paketnya mencantumkan prioritas Medium dan menyebut paket deb lxd tidak ada di rilis Ubuntu 22.04 sampai 26.10, jadi perbaikan Canonical berjalan lewat paket snap.
CISA menilai pada 30 Oktober 2026 bahwa belum ada bukti eksploitasi, dan celah ini tidak ada di katalog KEV. Belum ada exploit fungsional yang dipublikasikan.
Versi perbaikan
Untuk LXD, versi yang sudah diperbaiki adalah 6.10.1 (channel 6/stable), 5.21.9 (5.21/stable), 5.0.11 (5.0/stable), dan 4.0.15 (4.0/stable). Untuk MicroCloud, perbaikannya ada di 3.4.1 (3/stable) dan 2.1.5 (2/stable). Incus memperbaikinya di versi 7.6.0. Canonical menyebut rilis point LXD masih bergulir dari kandidat ke stabil saat advisori terbit, jadi periksa versi yang terpasang setelah memperbarui.
Langkah yang perlu Anda ambil
Administrator LXD dan MicroCloud sebaiknya menjalankan sudo snap refresh lxd dan sudo snap refresh microcloud, lalu memastikan nomor versinya sudah sama dengan versi perbaikan di atas. Pengguna Incus perlu naik ke 7.6.0.
Canonical tidak menyediakan solusi sementara untuk LXD, dan Incus menyatakan tidak ada perbaikan lewat konfigurasi. Satu-satunya langkah yang disebut adalah membatasi akses jaringan ke listener HTTPS agar hanya bisa dijangkau host tepercaya. Jika API LXD Anda terbuka ke jaringan luas atau internet, tutup dulu aksesnya sambil menunggu jadwal pembaruan. Bagi tim di Indonesia yang menjalankan cluster LXD untuk lingkungan pengembangan atau hosting, ini berarti memeriksa aturan firewall hari ini dan memperbarui snap secepatnya.
Sumber: The Hacker News, advisori Canonical, advisori Incus, dan Ubuntu Security. Gambar: The Hacker News.