Microsoft a publié Azure Linux 3.0.20261105-3.0 le 7 novembre 2026. La mise à jour comprend quatre versions de noyau, des correctifs pour de nombreux paquets et des changements de confiance liés à des certificats eMudhra. Dans un article du 9 novembre, The Register a compté plus de 470 références CVE dans les notes de version ; certaines se répètent d’un paquet à l’autre, si bien que ce chiffre ne donne pas le nombre de vulnérabilités distinctes (notes de version Microsoft ; article de The Register).
Pour comprendre cette version, distinguez les références CVE des vulnérabilités distinctes et repérez la piste de noyau concernée.
Ce que compte le chiffre des références CVE
Une référence CVE est un identifiant associé à une vulnérabilité. Le total rapporté par The Register correspond à des références présentes dans les entrées de paquets. Comme certaines reviennent plusieurs fois, il ne permet pas d’en déduire un total de failles uniques. Les notes de Microsoft couvrent notamment OpenSSL, curl, des composants liés à Kubernetes et Docker, QEMU, containerd et des paquets Python.
Quatre pistes de noyau
Microsoft indique des versions distinctes pour les noyaux générique, HWE, MSHV et UVM :
| Piste du noyau | Version |
| Générique | 6.6.161.1 |
| HWE | 6.18.57.1 |
| MSHV | 6.18.58.mshv2 |
| UVM | 6.18.52.mshv1 |
Ces versions correspondent à quatre pistes différentes. La version générique ne résume donc pas les numéros indiqués pour HWE, MSHV et UVM. (Notes de version d’Azure Linux)
Changements de confiance pour les certificats
Pour les changements associés à CVE-2026-114406, Microsoft indique que des certificats racines concernés ont été supprimés ou déclarés non fiables. Les vérifications de Python et de Go rejettent aussi des certificats intermédiaires eMudhra concernés. Microsoft a conservé la confiance TLS de SSL.com lorsque nécessaire et actualisé ses certificats racines de confiance.
Versions de paquets et autres changements
La version comprend notamment containerd2 2.3.7, nginx 1.30.6, Python 3 3.12.16 et Go 1.27.3-1. Elle met aussi PHP à la version 8.3.36. Microsoft précise que PHP 8.3.35-2 ou une version ultérieure contient les correctifs d’exécution de code à distance associés à PHP2Shell, CVE-2026-109618 et CVE-2026-109619 ; la version indiquée dans cette publication dépasse ce seuil.
Parmi les changements qui ne concernent pas directement la sécurité, Microsoft cite un correctif de calcul confidentiel pour OpenVMM, une correction d’un blocage de la boucle d’événements de systemd, des modifications de métadonnées Secure Boot pour GRUB et le retrait de KEDA d’Azure Linux. (Notes de version Microsoft)
