返回技術公告
資安通知嚴重程度重大CVSS8.8已遭利用（CISA KEV）

Proxmox 核心多項本機權限提升漏洞（含 copy.fail），請更新核心

Proxmox VEProxmox Backup ServerProxmox Mail Gateway

2026 年 3 月至 6 月初，Linux 核心接連公開多個本機權限提升漏洞，Proxmox 原廠皆發布新版 proxmox-kernel：AppArmor 的 CrackArmor、AF_ALG 的 copy.fail（可竄改檔案的頁面快取，並可能造成容器逸出）、IPsec / RxRPC 的 DirtyFrag、Fragnesia、ssh-keysign-pwn、RDS 的 pintheft、CIFS 的 CIFSwitch，以及 6 月 1 日的 AppArmor 與 GRO 多項問題，影響依漏洞而異（權限提升、資訊洩漏或阻斷服務）。其中 copy.fail（CVE-2026-31431）與 Fragnesia（CVE-2026-46300）已列入 CISA 已遭利用漏洞清單（KEV），多項已有公開的概念驗證程式。執行 LXC 容器或允許非管理者登入主機的環境應優先處理。

影響版本

  • proxmox-kernel 7.0 系列 7.0.6-2-pve 之前（Debian 13 / Trixie：PVE 9、PBS 4、PMG 9；7.0.0 不受 copy.fail 影響）
  • proxmox-kernel 6.17 系列 6.17.13-13-pve 之前（Debian 13 / Trixie）
  • proxmox-kernel 6.14 系列：原廠已於 2026-05-19 停止支援，之後的公告未提供修正
  • proxmox-kernel 6.8 系列 6.8.12-28-pve 之前（Debian 12 / Bookworm：PVE 8、PBS 3、PMG 8）

已修正版本

  • proxmox-kernel7.0.6-2-pve 以上7.0 系列，涵蓋本期全部公告
  • proxmox-kernel6.17.13-13-pve 以上6.17 系列，涵蓋本期全部公告
  • proxmox-kernel6.8.12-28-pve 以上6.8 系列，涵蓋本期全部公告
  • pve-container6.1.5 / 5.3.5 以上僅 PVE 9 / PVE 8；PSA-2026-00018 以 seccomp 阻擋容器使用 AF_ALG

建議處理方式

  1. 以網頁介面「節點 → 更新」或 apt update、apt full-upgrade 安裝最新核心；PVE 另需更新 pve-container 套件
  2. 新核心必須重新開機才會生效；叢集環境可逐台遷移虛擬機後輪流重新開機
  3. 仍使用 6.14 核心者（原廠 2026-05-19 宣布停止支援），應改用目前支援的預設核心：PVE 9 為 7.0、PVE 8 為 6.8（6.17 自 2026-07 起僅盡力提供更新）
  4. PVE 更新 pve-container 後，容器須先停止再啟動，才會套用新的 seccomp 規則；此限制不能取代主機核心更新
  5. Proxmox VE 8、PBS 3、PMG 8 的原廠支援期限為 2026 年 8 月，應規劃升級至受支援的主版本

暫時無法更新時

  • copy.fail：重新開機前可禁止載入 algif_aead 模組（echo "install algif_aead /bin/false" > /etc/modprobe.d/disable-algif.conf、update-initramfs -u -k all，再 rmmod algif_aead）
  • DirtyFrag / Fragnesia：禁止載入 esp4、esp6、rxrpc 模組，並以 rmmod esp4 esp6 rxrpc 卸載已載入的模組（會影響核心層 IPsec 與 AFS 用戶端）；Fragnesia 另參照 copy.fail 的措施
  • pintheft：禁止載入 rds、rds_tcp 模組，並以 rmmod rds_tcp rds 卸載已載入的模組
  • 禁止載入只影響之後的載入，已載入的模組須另外卸載並確認執行成功
  • ssh-keysign-pwn：將 /proc/sys/kernel/yama/ptrace_scope 設為 2 或 3 可阻擋目前公開的概念驗證程式（原廠說明無法完全阻擋）
  • CIFSwitch：不需 Kerberos 驗證時，可依原廠公告在 /etc/request-key.d/cifs.spnego.conf 停用 cifs.spnego（PVE 需要 cifs-utils，不可移除該套件）

如何確認是否受影響

  • 執行 uname -r 查看目前執行中的核心，依其所屬系列比對上述修正基準；未達基準者應更新，個別漏洞是否受影響須依對應公告判定
  • 執行 lsmod | grep -e algif_aead -e esp4 -e esp6 -e rxrpc -e rds；原廠說明若有載入但未知用途，可能已有人嘗試利用，應檢查 journal
  • 安裝新核心後若 uname -r 仍顯示舊版本，表示修正核心尚未啟用；應確認是否已重新開機、是否固定使用舊核心（proxmox-boot-tool kernel pin）或開機選單選用舊版本

參考來源

Proxmox 論壇：Proxmox Virtual Environment – Security Advisories（PSA-2026-00010-1 CrackArmor）forum.proxmox.comProxmox 論壇：Proxmox Virtual Environment – Security Advisories（PSA-2026-00018～00025）forum.proxmox.comProxmox 論壇：Kernel 6.14 – End of Support（2026-05-19）forum.proxmox.comNVD：CVE-2026-31431（copy.fail）nvd.nist.govNVD：CVE-2026-43284（DirtyFrag）nvd.nist.govCISA Known Exploited Vulnerabilities Catalogwww.cisa.gov

本文依原廠與公開漏洞資料庫資訊整理，實際影響請以原廠公告為準。

相關公告