Proxmox 2026. gada 10. novembrī publicēja piecus jaunus Proxmox Virtual Environment drošības paziņojumus — PSA-2026-00088-1, PSA-2026-00089-1 un PSA-2026-00092-1 līdz PSA-2026-00094-1. Tie skar krātuves, HTTP serveri, programmatūras definētos tīklus (SDN), FRR maršrutēšanas konfigurāciju un OCI konteineru veidņu izpakošanu. Visbīstamākās sekas ir komandu izpilde ar root tiesībām uz iSCSI vai migrācijas mērķa hosta un patvaļīgu failu dzēšana ārpus konteinera rootfs. Pārējie labojumi novērš ACL apiešanu, konfigurācijas injekciju, informācijas atklāšanu un HTTP pieprasījumu apstrādes nepilnības.
PSA-2026-00088-1 novērš nepietiekamu sējuma nosaukuma validāciju. Lietotājs ar Datastore.AllocateSpace tiesībām ZFS-over-iSCSI krātuvē varēja ievadīt patvaļīgus argumentus komandā, kas ar root tiesībām tiek izpildīta iSCSI mērķa hostā. Direktoriju tipa krātuvēs uzbrucējs ar Datastore.AllocateSpace un VM.Migrate varēja ievadīt komandas migrācijas mērķī. Labojumi pieejami libpve-guest-common-perl 6.0.7, libpve-storage-perl 9.1.15 un qemu-server 9.2.15 vai jaunākās versijās. Šo atjauninājumu īpaši nedrīkst atlikt vidēs ar deleģētu krātuvju vai migrācijas pārvaldību.
PSA-2026-00089-1 pastiprina Proxmox VE un Proxmox Mail Gateway izmantoto Perl HTTP serveri. Versija libpve-http-server-perl 6.0.6 novērš nekorektu piekļuves žurnāla rindu veidošanu, noraida dublētas Content-Length, Host un Cookie galvenes, vairs nepārveido pasvītrojumus par defisēm galveņu nosaukumos un bloķē pārmērīgi garas vaicājumu virknes. Savukārt PSA-2026-00092-1 labo trūkstošas vai nepareizas SDN API tiesību pārbaudes IPAM, apakštīklu, VNet, zonu un konfigurācijas vaicājumu darbībās. Tas arī mazina neatļautu SDN objektu eksistences atklāšanu kļūdu ziņojumos. Labojums ir libpve-network-api-perl 1.6.8; pēc atjaunināšanas dažiem zonu administratoriem var būt papildus jāpiešķir SDN.Use vai SDN.Allocate.
PSA-2026-00093-1 novērš FRR konfigurācijas rindu injekciju maršrutu karšu iestatījumos un nederīgas IS-IS domēna vērtības, kas varēja sabojāt ģenerēto FRR konfigurāciju un traucēt SDN izmaiņu piemērošanu. Nepieciešamas vismaz libpve-network-perl 1.6.8, libpve-network-api-perl 1.6.8 un libpve-rs-perl 0.15.4 versijas. PSA-2026-00094-1 attiecas uz OCI veidņu izpakošanu: nepietiekamas pārbaudes, apstrādājot whiteout ierakstus, ļāva īpaši sagatavotam attēlam dzēst failus un direktorijas ārpus mērķa rootfs. Proxmox norāda labojumus librust-proxmox-oci-dev 0.2.2 un libpve-rs-perl 0.15.4.
Administratoriem jāatjaunina pakotņu saraksti, jāpārbauda instalētās versijas ar pveversion -v vai dpkg-query un jāuzstāda jaunākie atjauninājumi no oficiālajiem Proxmox repozitorijiem. Klastera mezglus atjauniniet kontrolētā secībā, iepriekš pārbaudot rezerves kopijas, kvorumu, HA un migrācijas plānu. Pārskatiet deleģētās krātuvju, migrācijas un SDN tiesības, kā arī neizmantojiet nepārbaudītas OCI veidnes. Oficiālie paziņojumi: PSA-2026-00088-1, PSA-2026-00089-1, PSA-2026-00092-1, PSA-2026-00093-1 un PSA-2026-00094-1.
