TL;DR

Proxmox VEでLXCコンテナ（CT）を外部ユーザーや非信頼ユーザーに使わせている場合、CVE-2026-31431(copy.fail)の対策状況を確認してください。

CTはVMと違い、ProxmoxホストのLinuxカーネルを共有します。
未修正kernel上でCT内のユーザーが任意コードを実行できる場合、ホスト側root権限へ影響する可能性があります。

対応は以下です。

Proxmox kernelを修正済みバージョンへ更新 (要再起動)
pve-container 6.1.5 以降へ更新
CT内から AF_ALG socket が作れないことを確認

何が危ないのか

VMはゲストOSごとに別カーネルを使います。
一方、LXCコンテナ（CT）はProxmoxホストのカーネルを共有します。

そのため、CT内でカーネル脆弱性を突かれると、ネットワーク分離やテナント分離を迂回して、Proxmoxホスト側へ影響する可能性があります。

これは、複数テナントにCT作成権限を渡している環境では特に危険です。

CT内のユーザー
→ カーネル脆弱性を悪用
→ Proxmoxホストrootへ影響
→ 全VM/CT/ストレージ/設定に影響

危ない構成

以下に当てはまる場合は確認した方がよいです。

CTを使っている
外部ユーザーや非信頼ユーザーにCT作成・起動権限を与えている
Proxmox kernelが未更新
pve-container が 6.1.5 未満

まず確認する

ホスト側

uname -a
pveversion -v | grep pve-container

6.17系の場合は 6.17.13-6-pve 以降であることを確認します。
pve-container は 6.1.5 以降であることを確認します。

CT内

# Alpine の場合
apk add --no-cache python3
# Debian/Ubuntu の場合
apt install -y python3
# RHEL/AlmaLinux/Rocky の場合
dnf install -y python3

python3 - <<'PY'
import socket
try:
    s = socket.socket(socket.AF_ALG, socket.SOCK_SEQPACKET, 0)
    print("AF_ALG socket: OK")
    s.close()
except Exception as e:
    print(type(e).__name__ + ":", e)
PY

AF_ALG socket: OK が出る場合、CT内から問題の入口に到達できます。
未修正kernelと組み合わさる場合は危険なので、更新してください。

修正する

Proxmoxホストでカーネルなどをアップデートしてください。

apt-get update
apt-get dist-upgrade
reboot

再度CT内で確認し、以下のように OSError または PermissionError 系になれば、CT内から AF_ALG socket を作れない状態です。

OSError: [Errno 97] Address family not supported by protocol

MSL Setup利用者への注意：ネットワーク分離より先に確認すべきこと

これは、ネットワーク分離の良し悪し以前の問題です。
ネットワーク分離は、テナント間の通信経路を制御するために重要です。
しかし、Proxmoxホストのroot権限に影響が及ぶ場合、そのホスト上のVM、CT、仮想ディスク、ネットワーク設定、バックアップ設定、管理権限のすべてに影響が及ぶ可能性があります。

つまり、CTを利用者に使わせる場合は、ネットワーク分離より先に、CTが共有しているホストカーネルという信頼境界を確認する必要があります。

外部ユーザーや非信頼ユーザーにCTを使わせる場合は、CVE-2026-31431のような共有カーネルに関わる脆弱性の影響を確認し、必要に応じてProxmoxホストのkernelおよびpve-containerを更新してから運用することをおすすめします。

参考

【2026年版】Proxmoxを最強の『開発プラットフォーム』へ変貌させる全手順

Proxmox Forum: Proxmox VE Security Advisories

Theori: Copy Fail: 732 Bytes to Root on Every Major Linux Distribution

NVD: CVE-2026-31431 Detail

Bugcrowd: What we know about Copy Fail (CVE-2026-31431)