تم اكتشاف ثغرة حرجة تم تحديدها كـ CVE-2026-112816 في منتجات Canonical's LXD وMicroCloud. تتيح هذه الثغرة للمهاجمين تسجيل الدخول كعملاء موثوقين دون امتلاك مفاتيحهم الخاصة.

تؤثر الثغرة، التي حصلت على أعلى درجة في CVSS وهي 10.0، على المصادقة المتبادلة TLS المستخدمة لتأمين واجهة برمجة التطبيقات HTTPS. يمكن للمهاجمين استغلال هذه الثغرة من خلال تقديم سلسلة شهادات مصممة تتضمن شهادة عامة لعميل موثوق.

لتنفيذ الهجوم، يتطلب الوصول إلى شبكة واجهة برمجة التطبيقات HTTPS وامتلاك شهادة عامة لعميل موثوق. ومع ذلك، لا يوجد دليل عام على أن هذه الثغرة قد تم استغلالها في البرية، وفقًا لتقييم CISA الأمريكية بتاريخ 30 أكتوبر.

أصدرت Canonical إصدارات ثابتة من LXD وMicroCloud لمعالجة هذه المشكلة. تشمل الإصدارات المتأثرة من LXD 4.0.14، 5.0.10، 5.21.8، و6.9، قبل الإصدارات الثابتة. أبلغ مشروع Incus، وهو تفرع مجتمعي لـ LXD، عن الثغرة وأصدر أيضًا إصلاحًا في الإصدار 7.6.0.