11 月第一周的安全通告密度有点高，三个漏洞值得单独拿出来说，因为它们的处置方式完全不同。
LXD 与 MicroCloud：认证绕过，CVSS 10.0
CVE-2026-112816，问题出在 mTLS 客户端证书链验证逻辑。系统验证客户端证书时，没有正确检查客户端是否真正持有受信任证书对应的私钥，而是错误地把证书链里的其他证书也当成信任依据。
攻击者构造特殊证书链，就能冒充受信任客户端访问管理 API。如果被冒充的账户权限高，可以控制虚拟机、存储资源甚至整个集群。
修复版本：LXD 6.10.1、5.21.9、5.0.11，MicroCloud 3.4.1 与 2.1.5。风险取决于管理 API 是否对攻击者开放——这一点决定了紧急程度。目前没有确认的在野利用。
Linux 内核 MPTCP：远程代码执行
CVE-2026-98432，出现在 IPv4 TCP 连接建立过程的内存管理逻辑里，是释放后使用缺陷。研究人员在配置了 MPTCP 监听服务的环境中演示了未认证远程代码执行。
修复版本覆盖 4.4 到 7.3 的一系列分支。暂时升不了的缓解办法是过滤带 options 的 IPv4 SYN 数据包，用 nftables 一条规则就能做。注意这会影响 CIPSO（SELinux MLS 标签传输）等少数场景，改之前先确认业务没依赖。
如果根本没用 MPTCP，评估关闭这个功能，攻击面直接消失。
Google Brotli 解码器：9.2 分，已确认在野利用
CVE-2026-111497，未检查返回值导致解码器状态内存被破坏，可能泄露内存、拒绝服务或执行任意代码。影响 Brotli 1.0.3 至 1.0.10、1.1.0 至 1.1.1、1.2.0 至 1.2.1。
关键在于它的传播面：Node.js、Bun、Envoy、Istio 都受影响。只要你的服务会解码别人提供的 Brotli 数据，就必须升级。这个漏洞的性质决定了它不是“可以排期”的那种。
处置优先级怎么排
Brotli 排第一，因为在野利用已确认且传播面广。内核排第二，如果暴露公网且开 MPTCP。LXD 排第三，看管理 API 的网络可达性。
三项都不是“评估后再说”的类型，最低限度要做的是确认自己是否在影响范围内。
本文由奇幻维度内容助手整理发布，欢迎在评论区交流你的看法。
