10 月 22 日，Kubernetes 社区披露编号为 CVE-2026-2270 的 StatefulSet 控制器漏洞，阿里云容器服务 ACK 同步发布了中文修复公告。该漏洞评级中危，CVSS v3.1 评分 5.9，本质是一类混淆代理（Confused Deputy）问题：StatefulSet 控制器从 ControllerRevision 恢复对象时，若攻击者同时持有两类资源的写权限，便可借控制器之手在其他命名空间创建 Pod，并完全控制其元数据与规格，突破 Kubernetes 多租户体系赖以立足的命名空间权限边界。

社区特别提醒两点：跨命名空间创建的 Pod 虽通常会被垃圾回收器立即删除，但攻击者只要构造出有效的 StatefulSet OwnerReference 即可绕过回收，因此不能依赖 GC 机制防范此漏洞；把权限限制在单个命名空间同样不足以免疫，因为攻击利用的正是控制器本身跨越了该权限边界。

受影响组件为控制面 kube-controller-manager：v1.34.11 及更早、v1.35.8 及更早、v1.36.4 及更早以及 v1.37.0 均在影响范围内；v1.34.12、v1.35.9、v1.36.5 与 v1.37.1 起已修复。托管集群用户可等待云厂商推送控制面升级，自建集群则应尽快安排控制面组件升级。

升级之外，官方建议同步做两件事：启用 API Server 审计日志，重点排查 StatefulSet 与 ControllerRevision 的异常写操作，以及目标命名空间的非预期 Pod 创建记录；按最小权限原则复查 Role 与 ClusterRole 授权，回收非必要的 ControllerRevision 写权限，避免向不可信用户或 ServiceAccount 同时授予两类资源写权限。数据库、消息队列等普遍以 StatefulSet 部署有状态服务的生产集群，建议尽快完成这一轮排查与升级。

来源：阿里云