Tin an ninh mạng 3/11/2026: LXD và MicroCloud CVSS 10.0

Một chứng thư công khai. Không cần private key. Kẻ tấn công vẫn đăng nhập được vào API quản trị của cụm máy chủ của bạn. Kẻ tấn công còn chạy được máy ảo trong cụm đó như chính chủ.

Đó là lỗ hổng CVE-2026-112816, công bố trong tin an ninh mạng 3/11/2026. Nó ảnh hưởng hai sản phẩm của Canonical: LXD và MicroCloud. Điểm CVSS do chính Canonical chấm là 10.0, mức Critical.

Tin tốt là: chưa có bằng chứng khai thác ngoài đời. Tin xấu là lỗ hổng này không cần điều kiện khai thác phức tạp nào cả.

LXD và MicroCloud: đánh cắp danh tính client chỉ bằng public certificate

Canonical đăng advisory ngày 28/10/2026 trên diễn đàn Ubuntu. Lỗ hổng nằm trong logic xác thực của API HTTPS của LXD và MicroCloud.

Với hai sản phẩm này, client từ xa truy cập API qua mutual TLS — client trình diện chứng thư để chứng minh danh tính. Một client được tin cậy khi chứng thư của nó nằm trong trust store của server.

Canonical viết: kẻ tấn công chạm tới API HTTPS của LXD thì xác thực được với tư cách bất kỳ client TLS tin cậy nào. Điều kiện là kẻ tấn công có chứng thư công khai của client đó.

Điểm quan trọng: chỉ cần chứng thư công khai. Đây không phải bí mật — chứng thư công khai được thiết kế để công khai.

Với MicroCloud, kẻ tấn công chặn được chứng thư TLS công khai của một thành viên đang join cluster thì đăng nhập được với tư cách thành viên đó.

Lỗi nằm ở cách server kiểm tra chuỗi chứng thư. Theo mô tả của Canonical, logic xác thực so sánh mọi chứng thư mà client gửi với các mục trong trust store.

Nhưng chỉ chứng thư lá (leaf certificate) chứng minh được chủ sở hữu khóa riêng. Phần còn lại của chuỗi do client tự chọn, server không kiểm chứng.

Server so sánh đúng nhưng so sánh sai đối tượng: thay vì kiểm tra chứng thư lá, nó kiểm tra cả chuỗi — và phần giữa chuỗi nằm trong tay client.

Đây là lỗi CWE-295. Nếu tài khoản bị mạo danh có quyền cao, Canonical nói kẻ tấn công có thể giành được quyền root trên máy host.

Lỗ hổng không bắt nguồn từ Canonical: dự án Incus — bản fork cộng đồng của LXD — báo cáo trước, rồi Canonical xác nhận nó ảnh hưởng LXD. Incus đã sửa ở bản 7.6.0.

Điều kiện để khai thác và tình trạng thực tế tại 03/11/2026

The Hacker News, dẫn lại Canonical, tóm tắt cần đúng hai điều kiện. Tiếp cận được API HTTPS theo mạng, và có chứng thư công khai của client mà server tin cậy.

| Mục | Trạng thái |

Workaround: Canonical không đưa ra bản vá tạm thời cho LXD. Cách giảm rủi ro duy nhất được hãng nêu là giới hạn ai có thể tiếp cận API.

Các bản release điểm của LXD đang được đẩy dần từ candidate sang stable, nên sau khi refresh bạn vẫn nên kiểm tra phiên bản thực tế. Trên Ubuntu, bản vá nằm ở snap.

Lưu ý

PoC công khai cho CVE-2026-112816 xuất hiện trên GitHub ngày 01/11/2026. Repo tự mô tả là công cụ tái hiện trong phòng thí nghiệm và kiểm tra sau khi vá — không phải khai thác ngoài đời.

CISA đánh giá exploitation = none ngày 30/10, lỗ hổng không nằm trong KEV, và chưa có exploit hoạt động nào được công bố. Điểm CVSS 10.0 do Canonical chấm; NVD còn “Deferred”.

Cập nhật: Ubuntu vẫn chưa vá lỗ hổng kernel 9.8

Tin phụ đáng lưu tâm: lỗ hổng kernel CVE-2026-98432 — use-after-free trong inet_opt — vẫn chưa có bản vá cho Ubuntu tại thời điểm này.

Tracker chính thức của Ubuntu liệt kê trạng thái “Vulnerable work in progress” cho cả bốn bản phát hành còn được hỗ trợ: 22.04, 24.04, 26.04 và 26.10. Trang tracker không nêu ETA.

Trong khi đó, RHEL đã có bản vá từ 01/11/2026 qua RHSA-2026:93414.

Lỗ hổng này đã được bài tin an ninh mạng 1/11/2026 phân tích chi tiết. Ở đây chỉ cần nhắc: nếu hệ thống của bạn chạy Ubuntu, đừng kỳ vọng vá kernel là việc của Canonical tuần này.

Checklist hành động cho đội IT trong 24 giờ tới

Kiểm tra bạn có chạy LXD hay MicroCloud không, và đang ở bản nào: snap list lxd, snap list microcloud.
Chạy sudo snap refresh lxd và sudo snap refresh microcloud, rồi kiểm tra lại phiên bản vì bản vá đang rollout dần.
Chặn network access tới API HTTPS của LXD/MicroCloud ở tầng firewall, chỉ cho phép từ host quản trị tin cậy. Đây là biện pháp giảm rủi ro chính thức.
Rà lại trust store — chứng thư công khai của client đã rời tổ chức nên bị thu hồi.
Nếu dùng Incus, nâng lên 7.6.0 ngay. Cập nhật kernel cho host Ubuntu — RHEL đã vá, Ubuntu chưa.
Bật auto-update trên host quản trị. Bản vá đến muộn một ngày là một ngày lỗ hổng còn mở.

Về cách bố trí hạ tầng cho hệ thống chạy container, bài AI agent an toàn có phần guardrail tách phần quản trị khỏi workload.

Ba tín hiệu khác: infostealer dùng AI và cuộc tấn công vào Chainalysis

Cisco Talos phân tích VOLTA-AUTODOXER, một infostealer Windows có tầng AI. Mã này tự xoá sau khi chạy và không dùng hạ tầng do kẻ tấn công sở hữu.

Sau khi thu thập dữ liệu, VOLTA dựng hồ sơ bằng chứng về nạn nhân rồi gửi lên OpenRouter, yêu cầu model đóng vai chuyên gia phân tích. Model mặc định là Claude Opus 4.6, fallback Kimi K2 rồi Gemini 2.5 Flash.

Talos nói thẳng về điểm mới của VOLTA. Không phải AI làm nhanh hơn, mà là AI thay thế công việc phân tích của người vận hành. Talos chưa xác nhận VOLTA đã bán trên chợ hay dùng trong tấn công thực tế.

Chainalysis công bố sự cố xâm nhập. Ngày 30/10/2026, công ty blockchain analytics này nói đã phát hiện tác nhân bên ngoài dùng “offensive agentic techniques” để truy cập trái phép hệ thống và công cụ nội bộ.

SecurityWeek đưa tin 02/11/2026. Dữ liệu bị lấy: user ID, họ tên, email, nhãn vai trò tổ chức.

Chainalysis nói chưa thấy dấu hiệu truy cập nội dung điều tra, mật khẩu dạng rõ, MFA secret hay session token — kết luận ở thời điểm điều tra, chưa phải kết luận cuối. Sự cố không liên quan tới vụ trộm Binance 6,36 tỷ USD.

Hai tin này cùng một hướng. AI đang được dùng để dịch chuyển công việc phân tích trong chuỗi tấn công. Xem bài EMBRACE.

Nguồn tham khảo

Canonical, advisory LXD và MicroCloud — https://discourse.ubuntu.com/t/security-advisory-critical-vulnerability-found-in-canonical-lxd-and-microcloud/90557.
NVD, CVE-2026-112816 — https://services.nvd.nist.gov/rest/json/cves/2.0?cveId=CVE-2026-112816.
The Hacker News (01/11/2026) — https://thehackernews.com/2026/11/critical-lxd-and-microcloud-flaw-cvss.html.
Ubuntu Security, CVE-2026-98432 — https://ubuntu.com/security/CVE-2026-98432.
Red Hat, RHSA-2026:93414 — https://access.redhat.com/errata/RHSA-2026:93414.
Cisco Talos, VOLTA (31/10/2026) — https://blog.talosintelligence.com/appraisal-by-ai-model-driven-victim-prioritization-in-the-volta-infostealer/.
Chainalysis (30/10/2026) — https://www.chainalysis.com/blog/security-incident-october-30/.
SecurityWeek (02/11/2026) — https://www.securityweek.com/chainalysis-discloses-data-breach-following-ai-driven-cyberattack/.
GitHub, cve-2026-112816-poc — https://github.com/MrNarsus/cve-2026-112816-poc.