CUPS 本地提权 · Ubuntu 内核多项缺陷USN-8864-12026 年 9 月 — 10 月 · 服务器与云环境重点排查依据奇安信 CERT / 启明星辰 VSRC / Ubuntu 安全公告整理目 录第一章 专题概述第二章 CUPS 本地权限提升漏洞QVD-2026-703612.1 漏洞概览2.2 漏洞详情2.3 排查与缓解第三章 Ubuntu 内核安全更新USN-8864-1 / USN-8819-23.1 更新概览3.2 漏洞详情3.3 排查与修复第一章 专题概述本篇覆盖 9 月以来值得 Linux 服务器与云环境运维人员重点排查的两类漏洞一是 CUPS 打印系统的本地权限提升漏洞QVD-2026-70361利用链完整公开、可稳定获得 root shell二是 Ubuntu 发布的多项内核安全更新USN-8864-1 等修复了 NFS 服务、IPv6 网络与 Netfilter 子系统的多个缺陷对仍运行 14.04 / 16.04 LTS 等老版本系统的环境风险尤其突出。漏洞编号受影响组件CVSSPoC 状态QVD-2026-70361CUPS 打印系统lpadmin 组 → root7.8已公开USN-8864-1Ubuntu 内核NFS / IPv6 / Netfilter—官方补丁已发布USN-8819-2Ubuntu 内核多个版本分支—官方补丁已发布第二章 CUPS 本地权限提升漏洞QVD-2026-703612.1 漏洞概览项目内容漏洞编号QVD-2026-70361奇安信 CERT 编录漏洞类型本地权限提升配置与权限边界缺陷利用链CVSS 评分7.8 高危公开时间2026-09-17/18PoC、EXP 与技术细节均已公开利用条件本地账号且属于 lpadmin 组主组不能为 lpadmin/root/CUPS SystemGroup系统使用 systemd本地 CUPS 服务活跃存在以 root 运行的特权 serial 后端已验证环境Ubuntu 26.04 LTSAMD64 / ARM64依赖标准 Ubuntu CUPS 路径危害获得交互式 root shell完全控制主机修复状态官方暂未提供明确修复版本截至 9 月下旬通告2.2 漏洞详情CUPS 是 OpenPrinting 维护的开源打印系统为 Linux/Unix 平台事实上的打印服务标准组件包括调度进程 cupsd、过滤器/后端框架与 Web 管理界面。除桌面打印外CUPS 常被部署于多用户主机、共享开发机、CI Runner 与打印服务器cupsd 通常以 root 权限运行。该漏洞是一条多环节串联的利用链属于 lpadmin 组的本地攻击者利用以 root 权限运行的 serial 后端改写 /etc/cups/cups-files.conf 配置文件通过构造畸形 IPP 订阅请求使 cupsd 崩溃systemd 随后自动重启服务服务以攻击者控制的 ServerBin 目录重启cupsd 以 root 身份执行被替换的 cups-exec攻击者获得交互式 root shell完成提权。公开 PoC 在结束时还会自动恢复被修改的 CUPS 配置并清理队列与本地工件隐蔽性较强事后不易从表面痕迹发现。2.3 排查与缓解systemctl status cups # 确认 CUPS 服务是否运行getent group lpadmin # 查看 lpadmin 组成员grep -i ServerBin /etc/cups/cups-files.conf # 检查配置是否被篡改官方修复版本尚未明确发布前建议采取以下临时措施严格限制 lpadmin 组成员仅向确有打印管理需求的可信用户授权定期核查本地用户与组配置非必要环境服务器、CI Runner评估停用或卸载 CUPS 与 serial 后端加强对 CUPS 配置文件变更、服务异常退出与重启行为、关键目录与可执行文件变更的日志审计与监控持续关注 OpenPrinting / 发行版安全公告修复版本发布后第一时间升级。第三章 Ubuntu 内核安全更新USN-8864-1 / USN-8819-23.1 更新概览项目内容公告编号USN-8864-12026-10-02 发布涉及子系统NFS 服务器守护进程、IPv6 网络、Netfilter涉及 CVECVE-2025-38724、CVE-2026-53131、CVE-2026-53221受影响版本Ubuntu 16.04 LTS、14.04 LTSlinux / linux-aws / linux-fips / linux-kvm / linux-lts-xenial 等内核包相关公告USN-8819-29 月 25 日覆盖 18.04 / 16.04 LTS 分支的多项内核缺陷修复方式apt 升级内核包并重启系统3.2 漏洞详情Ubuntu 官方在上述公告中修复了内核多个子系统缺陷NFS 服务器守护进程nfsd的处理缺陷可被用于拒绝服务或内存破坏IPv6 网络与 Netfilter防火墙子系统的缺陷则可能被本地或网络侧攻击者用于系统崩溃与权限提升。官方措辞明确——「攻击者可能利用这些缺陷危害系统」。值得注意的是USN-8864-1 针对的是 14.04 / 16.04 两个早已结束标准支持的 LTS 版本含 FIPS 变体。仍在运行这些老版本的生产系统多为历史遗留环境老旧数据库、工控前端、内部设备恰恰是最难补丁、又最缺监控的「安全债」资产。3.3 排查与修复lsb_release -a # 确认系统版本uname -r # 查看当前内核版本apt list --upgradable | grep linux- # 检查可升级内核包# 升级并重启按维护窗口执行apt update apt install linux-image-genericreboot修复建议所有 14.04 / 16.04 LTS 系统立即通过扩展安全维护ESM / UA-I获取并安装上述内核更新无法升级内核的系统应通过网络层隔离限制 NFS、SSH 等暴露面降低风险中长期规划应将存量老版本系统迁移到受支持的 LTS 分支。