返回技術公告
版本更新嚴重程度中已遭利用

Proxmox VE 8、PBS 3、PMG 8 已停止支援，請規劃升級

Proxmox VEProxmox Backup ServerProxmox Mail Gateway

Proxmox VE 8、Proxmox Backup Server 3 與 Proxmox Mail Gateway 8 皆以 Debian 12（Bookworm）為基礎。Debian 12 的完整支援已於 2026 年 7 月 11 日結束（後續 LTS 至 2028 年 6 月，但不代表 Proxmox 產品支援延長），依原廠支援週期，上述三項產品的原廠支援亦於 2026 年 8 月結束，應升級至以 Debian 13（Trixie）為基礎的 Proxmox VE 9、PBS 4 與 PMG 9，不應依賴後續安全修正。另原廠於 9 月 1 日公告已停止支援的 Proxmox VE 7 有認證繞過漏洞（CVE-2023-54391）且已遭實際利用，仍在使用 PVE 7 的環境應優先處理。

停止支援的版本

  • Proxmox VE8.xDebian 12，原廠支援至 2026-08
  • Proxmox Backup Server3.xDebian 12，原廠支援至 2026-08
  • Proxmox Mail Gateway8.xDebian 12，原廠支援至 2026-08
  • Proxmox VE 7.x（2024-07 結束支援）及更早已停止支援的版本
  • CVE-2023-54391：libpve-access-control 7.0-7 以上、8.0.4 之前（約 PVE 7.0 至 7.4 及最初的 8.0）

建議升級至

  • 升級目標：Proxmox VE 9.x、Proxmox Backup Server 4.x、Proxmox Mail Gateway 9.x（Debian 13）
  • CVE-2023-54391：libpve-access-control 8.0.4（2023-07-20 發布）及之後版本

建議處理方式

  1. 盤點仍在使用 Proxmox VE 8、PBS 3、PMG 8 的主機，安排升級至 Proxmox VE 9、PBS 4、PMG 9
  2. Proxmox VE：先將所有節點更新至最新的 8.4 套件（pveversion 確認為 8.4.1 以上），並反覆執行 pve8to9 檢查程式，排除所有警告
  3. 使用超融合 Ceph 的叢集，須先將 Ceph 升級至 19.2 Squid，再升級 Proxmox VE
  4. PBS：先更新至最新 3.4 套件（至少 3.4.2-1），執行 pbs3to4 –full 並依「Upgrade from 3 to 4」指南處理；重要備份應另有異地副本
  5. PMG：先更新至最新 8.2 套件（至少 8.2.5），執行 pmg8to9 並依「Upgrade from 8 to 9」指南處理
  6. 升級前務必確認有可用的備份，並先在測試環境或非關鍵節點演練
  7. 仍在使用 Proxmox VE 7 的環境應優先升級：PSA-2026-00043-1（CVE-2023-54391）可在不知道密碼的情況下，以未設定第二驗證因素的帳號（預設包含 root@pam）登入 API，原廠已收到實際利用通報

暫時無法更新時

  • 受 CVE-2023-54391 影響且無法立即升級的 PVE，可依原廠公告套用暫時修補（修改 AccessControl.pm），驗證後重新啟動 pvedaemon 與 pveproxy；已設定第二驗證因素的帳號不受影響。原廠說明升級至受支援版本才是根本解決方式
  • 限制 PVE / PMG 的管理介面與 API（預設 TCP 8006）、PBS 的管理介面與 API（預設 TCP 8007）以及 SSH，只允許必要且受信任的來源存取，含反向代理等所有可通往 API 的入口；PBS 保留必要的備份與同步連線

如何確認是否受影響

  • Proxmox VE：執行 pveversion，主版本為 8 或更早即需升級
  • Proxmox Backup Server：執行 proxmox-backup-manager versions，主版本為 3 或更早即需升級
  • Proxmox Mail Gateway：執行 pmgversion，主版本為 8 或更早即需升級
  • PVE 7 與早期 PVE 8：執行 dpkg-query -W -f '${Version}\n' libpve-access-control，版本為 7.0-7 以上、8.0.4 之前即受 CVE-2023-54391 影響

參考來源

Proxmox VE FAQ：支援週期（How long will my Proxmox VE version be supported?）pve.proxmox.comProxmox Backup Server FAQ：支援週期pbs.proxmox.comProxmox Mail Gateway 管理手冊：支援週期pmg.proxmox.comProxmox VE Wiki：Upgrade from 8 to 9pve.proxmox.comProxmox 論壇：Proxmox Virtual Environment – Security Advisories（PSA-2026-00043-1）forum.proxmox.comProxmox 論壇：Proxmox VE Support Lifecycleforum.proxmox.comProxmox Backup Server Wiki：Upgrade from 3 to 4pbs.proxmox.comProxmox Mail Gateway Wiki：Upgrade from 8 to 9pmg.proxmox.comDebian 12（Bookworm）發行資訊www.debian.orgCVE 紀錄（VulnCheck CNA）：CVE-2023-54391www.cve.orgCISA Known Exploited Vulnerabilities Catalogwww.cisa.gov

本文依原廠與公開漏洞資料庫資訊整理，實際影響請以原廠公告為準。

相關公告