返回技術公告
資安通知嚴重程度高

Proxmox VE、PBS、PMG 管理介面多項漏洞，請更新套件

Proxmox VEProxmox Backup ServerProxmox Mail Gateway

Proxmox 原廠於 2026 年 1 月至 5 月陸續發布多則 Proxmox VE、Proxmox Backup Server 與 Proxmox Mail Gateway 安全公告。較需注意的有：管理 API 呼叫 apt-get 時未區隔參數，具特定管理權限的帳號可藉此執行任意程式；容器 env 設定未驗證，具 VM.Config 權限者可在主機以 root 執行指令；VNC 主控台的競爭條件與可猜測密碼問題，合併利用可能劫持正在建立的節點命令列工作階段；惡意 OVA 檔可讀取主機檔案或發出網路請求。另有網頁介面 XSS、cloud-init 密碼雜湊外洩、使用者列舉、PBS 記錄來源 IP 可偽造，以及 Corosync 在未加密傳輸模式下可遭阻斷服務等問題。修正皆已發布於正式套件庫。

影響版本

  • Proxmox VE 9 / 8：未更新至下列修正版本的套件
  • Proxmox Backup Server 4 / 3：proxmox-backup-server 未更新至下列修正版本
  • Proxmox Mail Gateway 9 / 8：pmg-api 未更新至下列修正版本

已修正版本

  • pve-manager9.1.9 / 8.4.19 以上PSA-2026-00002 apt 參數注入、00006 使用者列舉、00014 VNC 問題
  • pve-container6.1.8 以上PVE 9；PSA-2026-00023 LXC env 注入，影響 6.0.19 起；00015 HA 權限檢查
  • pve-container5.3.4 以上PVE 8；PSA-2026-00014 VNC 問題，PVE 8 不受 00023 影響
  • qemu-server9.1.8 以上PVE 9；PSA-2026-00014、00015 HA 權限檢查、00017 cloud-init
  • qemu-server8.4.8 以上PVE 8；PSA-2026-00014、00017，00015 只影響 PVE 9
  • proxmox-widget-toolkit5.1.9 / 4.3.17 以上PSA-2026-00007、00016 網頁介面 XSS
  • libpve-storage-perl9.1.2 / 8.3.8 以上PSA-2026-00013 OVA 匯入 XXE 與 SSRF
  • pve-cluster9.1.1 / 8.1.3 以上PSA-2026-00011 pmxcfs 備份權限過寬
  • corosync3.1.10-pve2 / 3.1.10-pve2~bpo12+1 以上PSA-2026-00012 未加密叢集阻斷服務
  • proxmox-backup-server4.1.4-1 / 3.4.8-3 以上PSA-2026-00003、00008、00009
  • pmg-api9.0.3 / 8.2.7 以上PSA-2026-00001 apt 參數注入

建議處理方式

  1. 以網頁介面「節點 → 更新」或 apt update、apt full-upgrade 將 PVE、PBS、PMG 更新至最新套件；PVE 叢集內每個節點都要更新
  2. 更新後重新整理瀏覽器（必要時清除快取），確保網頁介面載入新版程式
  3. 檢視使用者、API 權杖與資源池權限，確認 Sys.Modify、Sys.Audit、VM.Config 等權限只授予必要的帳號
  4. 有自行開發程式直接連線 VNC 連接埠（vncproxy / vncshell）者須調整：更新後 VNC 必須使用 TLS，並改用回應中的 password 欄位驗證（原廠標示為不相容變更）
  5. PBS 位於反向代理後方、需要在記錄中保留用戶端 IP 者，依原廠說明為 proxmox-backup-proxy 設定 PROXY_REAL_IP_HEADER 與 PROXY_REAL_IP_ALLOW_FROM 環境變數
  6. 避免匯入來源不明的 OVA 檔案

暫時無法更新時

  • Corosync 問題只影響使用 totemudp / totemudpu 傳輸模式的叢集；PVE 叢集預設使用 KNET 並啟用驗證與加密，依原廠說明預設設定不會被未經驗證的攻擊者利用
  • 仍使用 totemudp / totemudpu 的叢集，應規劃移轉至 KNET 並啟用加密；限制網頁管理埠無法阻擋直接針對 Corosync 的 UDP 封包
  • 補充防護（非原廠公告內容）：更新前限制網頁管理介面（PVE 8006、PBS 8007、PMG 8006）僅允許內部管理網段存取

如何確認是否受影響

  • PVE：執行 pveversion -v，比對 pve-manager、pve-container、qemu-server、proxmox-widget-toolkit、libpve-storage-perl、pve-cluster、corosync 是否已達上述版本
  • PBS：執行 proxmox-backup-manager versions，確認 proxmox-backup-server 已達上述版本
  • PMG：執行 pmgversion -v，確認 pmg-api 已達上述版本
  • 於網頁介面「節點 → 更新」（或「管理 → 更新」）確認沒有待安裝的套件

參考來源

Proxmox 論壇：Proxmox Virtual Environment – Security Advisories（PSA-2026-00002～00017）forum.proxmox.comProxmox 論壇：Proxmox Virtual Environment – Security Advisories（PSA-2026-00023）forum.proxmox.comProxmox 論壇：Proxmox Backup Server – Security Advisories（PSA-2026-00003、00008、00009）forum.proxmox.comProxmox 論壇：Proxmox Mail Gateway – Security Advisories（PSA-2026-00001）forum.proxmox.comNVD：CVE-2026-35091（Corosync）nvd.nist.govNVD：CVE-2026-51083（qemu-server cloud-init）nvd.nist.govNVD：CVE-2026-35092（Corosync）nvd.nist.govCISA Known Exploited Vulnerabilities Catalogwww.cisa.gov

本文依原廠與公開漏洞資料庫資訊整理，實際影響請以原廠公告為準。

相關公告