何が起きたか
バックアップ作成時の compression_algorithm は先頭の語（zstd など）だけが許可リストと照合され、続く引数はそのまま圧縮コマンドに渡されていました。API を使えるユーザーが zstd -d -o /etc/cron.d/... のような値を指定すると、ホスト上に任意のファイルを書き込め、コマンド実行につながるおそれがあります。
やること
Go モジュールとして使っている場合は 0.0.0-20260630083100-c5184be310b1 以降へ更新してください。LXD サーバーは修正を含むリリースへ更新し、それまでは API にアクセスできるクライアント証明書・ユーザーを信頼できる相手に絞ってください。
出典
GitHub Advisory Databasegithub.com英語 ↗LXD のセキュリティ勧告github.com英語 ↗NVD CVE-2026-48755nvd.nist.gov英語 ↗上の要約は通り道編集部がまとめたものです。影響範囲と修正版は必ず各出典で確認してください。