Azure Linux 3.0.20261105-3.0: vier kernelsporen en certificaatupdates

Microsoft publiceerde Azure Linux 3.0.20261105-3.0 op GitHub op 7 november 2026. De release vermeldt vier kernelsporen en wijzigingen in de omgang met certificaten. The Register meldde meer dan 470 CVE-verwijzingen; omdat verwijzingen bij meerdere pakketten kunnen terugkomen, telt dat niet automatisch als 470 unieke kwetsbaarheden. De reeks 20261105 maakt deel uit van de releasetag.

Wat de CVE-verwijzingen tellen

The Register rapporteerde meer dan 470 verwijzingen naar CVE’s in de releasenotities. Een CVE is een identificatienummer voor een bekende kwetsbaarheid. Dezelfde kwetsbaarheid kan in de verwijzingen voor meerdere pakketten voorkomen, waardoor het cijfer geen telling van unieke kwetsbaarheden is. The Register licht de herhaalde verwijzingen toe.

Vier kernelsporen, vier versies

Microsoft vermeldt afzonderlijke versies voor de algemene kernel en de HWE-, MSHV- en UVM-sporen. De exacte versies staan in de Azure Linux-releasenotities.

Kijk bij een kernelversie ook naar de naam van het spoor: de releasenotities vermelden vier verschillende builds.

Wat verandert er aan certificaten?

Voor wijzigingen rond CVE-2026-114406 beschrijft Microsoft aanpassingen aan de certificaatketen van eMudhra. Getroffen rootcertificaten zijn verwijderd of worden niet meer vertrouwd. Python en Go kregen controles die getroffen eMudhra-intermediaire certificaten afwijzen. Waar nodig blijft TLS-vertrouwen voor SSL.com behouden; ook de vertrouwde Microsoft-rootcertificaten zijn vernieuwd.

De wijzigingen lopen door in verschillende pakketcomponenten, waaronder ca-certificates, Go, gRPC, InfluxDB, NSS, Python-pakketten, Ruby HTTP-clients en Telegraf. Daarmee omvat de certificaataanpassing zowel de vertrouwde roots als controles in software die certificaten verwerkt.

PHP en andere pakketwijzigingen

Azure Linux 3.0.20261105-3.0 vermeldt PHP 8.3.36. Microsoft schrijft dat PHP 8.3.35-2 of hoger de oplossingen bevat voor de PHP2Shell-kwetsbaarheden CVE-2026-109618 en CVE-2026-109619. De genoemde versie 8.3.36 voldoet aan die versiegrens.

Andere pakketupdates zijn onder meer containerd2 2.3.7, nginx 1.30.6 en Python 3 3.12.16. De release bevat ook niet-beveiligingswijzigingen, waaronder een patch voor vertrouwelijk computergebruik in OpenVMM, een oplossing voor een vastlopende systemd-eventloop, aanpassingen aan GRUB Secure Boot-metadata en het verwijderen van KEDA uit Azure Linux.