ช่องโหว่ Red Hat ACM ยกสิทธิ์ผู้ใช้ระดับ edit ในเนมสเปซเดียว ขึ้นเป็น cluster-admin ทั้งฟลีต — ยังไม่มีแพตช์
Red Hat เปิดเผยช่องโหว่ยกระดับสิทธิ์ CVE-2026-10090 ในคอมโพเนนต์ Application Subscription ของ Red Hat Advanced Cluster Management for Kubernetes ที่มีคะแนน CVSS 9.9 ผู้ใช้ที่มีเพียงสิทธิ์ edit ในเนมสเปซเดียวบนฮับสามารถสร้าง Channel ชี้ไปยัง Helm repository ของตนเอง แล้วให้คอนโทรลเลอร์นำ ClusterRoleBinding ที่ซ่อนในชาร์ตไปติดตั้งด้วยสิทธิ์ของตัวเอง ผลคือได้สิทธิ์ cluster-admin เต็มรูปแบบเหนือคลัสเตอร์ทุกตัวที่ลงทะเบียนกับฮับนั้น ขณะนี้ยังไม่มี errata หรือมาตรการบรรเทาที่ผ่านเกณฑ์ของ Red Hat