A Canonical, empresa por trás do Ubuntu, corrigiu uma falha crítica em dois produtos: o LXD, usado para criar e gerenciar máquinas virtuais e contêineres, e o MicroCloud, que junta várias máquinas com LXD em um único cluster. Pela fonte, um atacante conseguia fazer login como um cliente confiável sem possuir a chave privada desse cliente, bastando ter acesso à API HTTPS pela rede e ao certificado público do cliente. A falha recebeu a identificação CVE-2026-112816 e nota máxima de gravidade, CVSS 10.0.

Pense em um prédio em que a portaria confere o crachá de um morador. Se o porteiro olhar apenas se o crachá é verdadeiro, mas não exigir a prova de que a pessoa é dona dele, qualquer um que copie o crachá entra. Foi isso que aconteceu: o servidor conferia todos os certificados enviados pelo cliente, mas a conexão só provava a posse da chave do primeiro certificado da cadeia. O restante da cadeia podia ser montado por quem ataca, e o servidor aceitava como se fosse o cliente legítimo.

Segundo a Canonical, se a conta imitada tiver privilégios, o atacante pode obter acesso root à máquina hospedeira, ou seja, controle total sobre ela, além do acesso ao cluster e às suas máquinas virtuais. Um servidor LXD isolado não expõe essa API por padrão; ela só fica aberta na rede se o administrador ativar a configuração core.https_address. Já no MicroCloud, a Canonical alertou que um atacante que capture o certificado público de um membro no momento em que ele entra no cluster consegue fazer login como esse membro.

As versões afetadas listadas no registro da CVE são LXD 4.0.14, 5.0.10, 5.21.8 e 6.9, além de versões anteriores à correção de cada uma. As versões corrigidas são LXD 6.10.1 (canal 6/stable), 5.21.9, 5.0.11 e 4.0.15, e MicroCloud 3.4.1 (canal 3/stable) e 2.1.5 (canal 2/stable). A falha foi reportada pelo projeto Incus, um fork da comunidade a partir do LXD, que também a corrigiu na versão 7.6.0. Os pacotes do próprio arquivo do Ubuntu não são afetados, então a correção vem pelos pacotes snap.

Não há sinal público de que a falha tenha sido explorada em ataques. A CISA dos EUA avaliou, em 30 de outubro, que não há registro de exploração, e a falha não está na lista de vulnerabilidades exploradas conhecidas. Também não foi publicado nenhum exploit funcional.

O que fazer: atualize o LXD e o MicroCloud para as versões corrigidas. Em instalações via snap, a fonte indica os comandos sudo snap refresh lxd e sudo snap refresh microcloud. A Canonical alertou que as correções ainda estavam chegando do canal candidato ao estável no momento do aviso, então vale confirmar a versão instalada depois da atualização. A Canonical não trouxe solução temporária para o LXD, mas, como o ataque depende de acesso à rede, restringir quem alcança a API reduz o risco até a atualização. Usuários do Incus devem migrar para a versão 7.6.0, que também corrige outras 17 falhas de segurança.