GKE Fragnesia (CVE-2026-46300): อัป Ubuntu node pool ตาม GCP-2026-033

ถ้าคลัสเตอร์ GKE ของคุณยังรัน Ubuntu nodes บน Standard รอบนี้ควรเปิดบอร์ดแพตช์ครับ

ตาม GKE security bulletins รายการ GCP-2026-033 อ้างอิง CVE-2026-46300 ชื่อ Fragnesia — เป็นช่องโหว่ container breakout ในเคอร์เนลลินุกซ์ ที่ผู้โจมตีในเครื่อง (unprivileged local) อาจยกระดับเป็น root บนโฮสต์

ใครกระทบ / ไม่กระทบ

• กระทบ: GKE Standard ที่ใช้โหนด Ubuntu
• ไม่กระทบ: GKE Standard บน Container-Optimized OS (COS), GKE Autopilot, และคลัสเตอร์ที่ใช้ GKE Sandbox

ผมไม่ใส่ PoC หรือขั้นตอนโจมตีครับ โฟกัสที่อัปเกรดโหนด

เวอร์ชันแพตช์ Ubuntu (อัปเดตใน bulletin 2026-07-16)

อัป Ubuntu node pools เป็นรุ่นต่อไปนี้หรือใหม่กว่า:

• 1.30.14-gke.2710000
• 1.31.14-gke.2116000
• 1.32.13-gke.1829000
• 1.33.13-gke.1011000
• 1.34.9-gke.1131000
• 1.35.6-gke.1127000
• 1.36.2-gke.1346000

เช็กลิสต์ ops

1. ลิสต์ node pools ที่ imageType เป็น Ubuntu
2. เปรียบเทียบเวอร์ชันกับตารางด้านบน
3. วางแผน rolling upgrade / blue-green ตามนโยบายทีม
4. ระหว่างรอแพตช์: ลดสิทธิ์คอนเทนเนอร์ (non-root, allowPrivilegeEscalation: false, seccompProfile: RuntimeDefault) ตามคำแนะนำใน bulletin และพิจารณา GKE Sandbox สำหรับงานที่ต้องการขอบเขตเข้ม

Recap

• เปิด security bulletins ที่ GCP-2026-033
• ตรวจว่ามี Ubuntu Standard pools หรือไม่
• อัปเป็นเวอร์ชันแพตช์ในรายการด้านบน
• COS / Autopilot / Sandbox — ยืนยันสถานะแล้วข้ามคิวเร่งถ้าไม่กระทบ