概要：

Red Hat 本周为其高级集群管理（RHACM）产品发布了紧急安全更新，修复了五个严重漏洞。其中两个漏洞允许攻击者在受管集群上执行远程代码，CVSS 评分高达 9.9。其余三个漏洞可导致令牌泄露或权限提升。这些漏洞直击 Kubernetes 舰队管理的核心，对多租户环境构成重大威胁，管理员被强烈建议立即应用补丁。

主要内容：

Red Hat 本周修复了高级集群管理（RHACM）中的五个严重漏洞，其中最严重的 CVE-2026-72526 是一个 CVSS 评分高达 9.9 的远程代码执行漏洞。该漏洞源于 Application 传播控制器未经验证就信任 cluster-name 字段，使得拥有应用创建权限的租户能够针对任意受管集群发起攻击，并通过 ArgoCD 同步恶意清单，最终实现任意代码执行。

另一个 CVSS 9.9 的漏洞 CVE-2026-73269 涉及 ClusterCurator 资源，本地用户可通过创建名称与命名空间不匹配的资源，诱使控制器创建集群范围的 ClusterRoleBinding，从而直接获得集群级控制权。此外，CVE-2026-73268 允许拥有更新权限的租户通过注入自定义 Job，利用控制器的权限访问集群级机密。

CVE-2026-72508 是一个“ confused deputy ”攻击，利用 application-manager 附加组件的默认通配符权限，使命名空间管理员能够部署超出其权限范围的集群级资源。CVE-2026-70398 则允许租户通过 GitOpsCluster 控制器窃取其他集群的令牌。这些漏洞影响 RHACM 及独立的 Multicluster Engine，目前尚未发现公开利用的 PoC，但鉴于其严重性，Red Hat 已发布修复版本，并建议用户立即更新或采取缓解措施，如限制 ClusterCurator 的权限和检查令牌存储位置。