返回技術公告
資安通知嚴重程度高推估CVSS原廠未提供

Proxmox Backup Server 僅具備份權限者可建立偽造快照、使既有備份遭清除，請更新至 4.2.9-1 以上

Proxmox Backup Server

Proxmox 原廠於 2026 年 11 月 10 日發布 3 則 Proxmox Backup Server 安全公告。PSA-2026-00086：只有資料存放區 Datastore.Backup 權限的使用者或 API 權杖，可在自己擁有的備份群組中建立偽造的快照；之後由排程或較高權限管理者執行的清除（prune）工作會將偽造快照視為有效備份，進而刪除該群組內所有真正的快照。此問題可繞過僅授予備份端 Datastore.Backup 權限的勒索軟體防護設計。PSA-2026-00087：未檢查同步工作（sync job）的擁有者，其他使用者可將同步工作的來源與目的地改指向自己有權存取的資料存放區或命名空間，使原擁有者的同步工作失效（僅造成服務中斷，無法存取未授權資料；攻擊者須猜中或知悉工作識別碼，預設為隨機產生）。PSA-2026-00099：偽造的工作識別碼（UPID）可停止不屬於該使用者的工作。原廠未提供 CVSS 分數，本公告「高」為本公司依影響範圍評估。

影響版本

  • Proxmox Backup Server 4：PSA-2026-00086、00087 修正門檻為 proxmox-backup-server 4.2.9-1，00099 為 4.2.7-1；原廠未列明最早受影響版本
  • Proxmox Backup Server 3：原廠支援期限已於 2026 年 8 月結束，本次公告未說明 3.x 是否受影響，也未提供修正，應升級至 PBS 4

已修正版本

  • proxmox-backup-server4.2.9-1 以上PSA-2026-00086 偽造快照、00087 同步工作接管
  • proxmox-backup-server 4.2.7-1 以上、librust-proxmox-rest-server-dev 1.1.1-1 以上（PSA-2026-00099 UPID 驗證）

建議處理方式

  1. PBS 4：確認套件庫設定正確且 apt update 無錯誤後，以網頁介面「管理 → 更新」或 apt full-upgrade 更新至 proxmox-backup-server 4.2.9-1 以上
  2. PBS 3：依原廠「3 升級至 4」指引辦理（事先備妥並驗證備份、執行 pbs3to4 --full、調整套件庫），須依跨主要版本升級程序辦理
  3. 確認 PBS 與備份用戶端的時間同步正常；依漏洞回報者說明，修正後預設拒絕時間戳記超前伺服器時間超過一分鐘的新快照（容許值可於資料存放區設定調整），時鐘偏差的用戶端可能因此備份失敗
  4. 更新後檢視各備份群組的快照清單，確認沒有異常的快照，再恢復清除作業
  5. 保留獨立的異地或離線備份副本；以另一台 PBS 保存副本時，同步工作不要啟用 remove-vanished（否則來源快照遭刪除後，目的端亦可能依同步設定刪除對應快照），目的端另設保留政策與存取權限

暫時無法更新時

  • 尚未完成更新前，可暫停受影響資料存放區的排程清除（prune）工作，並避免手動執行清除；此為本公司依 PSA-2026-00086 觸發條件提出的暫時措施，原廠未明列，不能取代更新

如何確認是否受影響

  • 執行 proxmox-backup-manager versions，確認 proxmox-backup-server 版本為 4.2.9-1 以上
  • 檢查備份群組中是否有時間戳記晚於目前時間或非預期來源的快照，並比對清除工作的記錄是否有大量刪除；異常時間戳記也可能源自時鐘偏差，不應單憑此項認定遭入侵

參考來源

Proxmox 論壇：PSA-2026-00086-1 偽造快照forum.proxmox.comProxmox 論壇：PSA-2026-00087-1 同步工作擁有者檢查forum.proxmox.comProxmox 論壇：PSA-2026-00099-1 UPID 驗證forum.proxmox.comProxmox Backup Server FAQ（支援期限）pbs.proxmox.comProxmox Backup Server 文件：同步工作pbs.proxmox.comProxmox Wiki：Upgrade from 3 to 4pbs.proxmox.comRdem Systems：PBS weakness found & reported（PSA-2026-00086 回報者說明）nimbus.rdem-systems.comCISA KEV 官方資料raw.githubusercontent.com

本文依原廠與公開漏洞資料庫資訊整理，實際影響請以原廠公告為準。

以 RSS 訂閱技術公告選擇要訂閱的軟體，將產生的網址加入 RSS 閱讀器（如 Feedly、Inoreader、Outlook、Thunderbird、Teams、Slack），有新公告時自動收到。

未勾選時為全部公告。依類別訂閱：全部・資安通知・版本更新

資料來源本區資訊整理自各原廠官方公告、版本說明與公開漏洞資料庫，每日檢查更新；點選展開查看來源網站。

Mail Piler

嚴重程度依原廠或 NVD 公布的 CVSS 3.1 分數分級（9.0 以上為重大、7.0 以上為高、4.0 以上為中）；已列入美國 CISA 已知遭利用漏洞清單（KEV）者一律列為重大；原廠未提供分數時依原廠評等與影響範圍判斷，並於各公告註明。版本發布與停止支援公告列為中。實際影響請以原廠公告為準。

相關公告