پچ امنیتی Kubernetes: CVE-2026-2270 و CVE-2026-76654 در یک ریلیز

۲۳ سپتامبر ۲۰۲۶ پروژه Kubernetes دو security advisory هم‌زمان داد و همان شمارهٔ ریلیز را برای هر دو بست. شدت Medium است، ولی یکی مرز authorization کنترل‌پلین را می‌شکند و دیگری hash حساب kubelet ویندوز را لو می‌دهد.

CVE-2026-2270 — Pod آن‌سوی namespace

Confused deputy در کنترلر StatefulSet: کاربری با write روی StatefulSet و ControllerRevision در محدودهٔ یک namespace می‌تواند Pod را طوری بسازد که metadata و spec — از جمله انتخاب namespace — دست خودش باشد. CVSS ۵٫۹. Pod بین‌namespace معمولاً سریع توسط garbage collector پاک می‌شود مگر مهاجم OwnerReference معتبر به UID یک StatefulSet در namespace قربانی بسازد. آسیب‌دیده: kube-controller-manager تا 1.34.11 / 1.35.8 / 1.36.4 و خود 1.37.0. فیکس فقط فیلد spec را از ControllerRevision برمی‌گرداند، نه فیلدهایی که اجازهٔ جابه‌جایی namespace می‌دادند.

CVE-2026-76654 — UNC و NTLM روی ویندوز

روی نود Windows، اگر subPath داخل volumeMounts یک symlink به share شبکه‌ای تحت کنترل مهاجم باشد، kubelet هنگام resolve، هدف UNC را رد نمی‌کند و با NTLM به آن share authenticate می‌کند. نتیجه: NetNTLMv2 hash حسابی که kubelet با آن اجرا می‌شود — برای crack یا relay، به‌ویژه اگر نود domain-joined باشد. CVSS ۵٫۸. آسیب‌دیده: kubelet همان بازه‌های نسخه‌ای بالا. فیکس هدف symlink از نوع UNC را روی ویندوز رد می‌کند. جزئیات در oss-security.

یک جدول ارتقا برای هر دو

کنترل‌پلین را برای 2270 و kubelet ویندوز را برای 76654 چک کنید — فقط kubectl version کلاینت کافی نیست. exploitation تأییدشده گزارش نشده؛ برای کلاستر mixed OS یا RBAC شلخته روی StatefulSet، همین ریلیز patch ارزش صف اضطراری را دارد.