Proxmox VEProxmox 原廠於 2026 年 9 月至 11 月初陸續發布多則 Proxmox VE 安全公告，其中數項可導致主機 root 權限遭取得：網路設定 API 欄位未驗證，具 Sys.Modify 權限者可注入設定並以 root 執行指令；pct mount / fstrim 的競態問題，可讓能存取執行中容器的攻擊者把目錄掛載到主機任意路徑，造成容器逃逸至主機；惡意 OCI 映像檔、OVA 檔或 VMA 備份檔可導致主機指令執行或任意路徑覆寫。另有驗證票證編碼不一致可冒用同一驗證領域內的其他使用者（攻擊者須能在該領域建立使用者，或使用未限制使用者名稱字元的 OIDC / LDAP / AD 來源），以及資源池權限檢查不完整等問題。原廠未提供 CVSS 分數，修正皆已發布於正式套件庫。
影響版本
- Proxmox VE 9：未更新至下列修正版本的套件
- Proxmox VE 8：原廠支援期限為 2026 年 8 月，10 月以後的公告未提供 8.x 修正，應升級至 PVE 9
已修正版本
- pve-manager9.2.24 以上PSA-2026-00076 資源池 Pool.Audit 檢查、00077 網路設定注入、00078 XSS、00079 Ceph 安裝指令注入
- libpve-common-perl9.2.5 以上PSA-2026-00081 使用者冒用
- libpve-access-control9.1.2 以上PSA-2026-00050 密碼變更驗證
- pve-firewall6.0.6 以上PSA-2026-00047 防火牆設定換行注入
- pve-container6.1.15 以上PSA-2026-00046 OCI 映像、00082 容器掛載 TOCTOU、00084 / 00085 權限檢查
- qemu-server9.2.13 以上PSA-2026-00069～00074、00084、00085
- pve-cluster9.1.7 以上PSA-2026-00083 pmxcfs 強化
- pve-xtermjs6.0.0-3 以上PSA-2026-00075 xterm.js 參數驗證
- libpve-storage-perl9.1.12 以上PSA-2026-00052 惡意 OVA 指令注入、00066 ESXi 匯入路徑穿越
- pve-qemu-kvm11.1.1-2 以上QEMU 11.1 系列；PSA-2026-00067 VMA 解壓路徑逃逸
- pve-qemu-kvm11.0.3-4 以上QEMU 11.0 系列；PSA-2026-00067
- proxmox-backup-client4.2.7-1 以上PSA-2026-00051 加密備份完整性、00059 pxar 還原逃出 rootfs
- proxmox-backup-file-restore4.2.6-1 以上PSA-2026-00051
- libproxmox-backup-qemu02.0.3 以上PSA-2026-00051
建議處理方式
- PVE 9：以網頁介面「節點 → 更新」或 apt update、apt full-upgrade 將所有節點更新至最新套件；叢集內每個節點都要更新
- PVE 8：應規劃升級至受支援的 PVE 9
- 更新後重新整理瀏覽器（必要時清除快取），確保網頁介面載入新版程式
- 已設定加密金鑰的 PBS 儲存空間，更新後會拒絕讀取未簽章的備份；需存取先前未加密的備份時，依原廠說明將其移動或同步至另一個命名空間，再另外新增一個 PBS 儲存空間
- 檢視使用者、API 權杖與資源池權限，確認 Sys.Modify、VM.Allocate、VM.Migrate 等權限只授予必要的帳號
- 避免匯入來源不明的 OCI 映像檔、OVA 或 VMA 檔案；避免開啟來源不明、指向 Proxmox VE 主控台的連結（特別是以 root@pam 登入時）
如何確認是否受影響
- 執行 pveversion -v，確認 pve-manager、qemu-server、pve-container、libpve-common-perl、libpve-access-control、pve-firewall、pve-cluster、libpve-storage-perl、pve-qemu-kvm 等套件的實際安裝版本已達上述版本（pve-qemu-kvm 依所用 QEMU 系列比對）
- 於網頁介面「節點 → 更新」確認沒有待安裝的套件（僅作輔助，仍以實際安裝版本為準）
參考來源
本文依原廠與公開漏洞資料庫資訊整理，實際影響請以原廠公告為準。