CRI-O 检查点恢复漏洞 CVE-2026-92574：可绕过 Kubernetes 安全策略
从恶意检查点恢复 Pod 时，CRI-O 可能保留旧进程凭证与 seccomp 等状态，导致实际权限与声明的安全策略不一致。
LinuxSecurity 报道 CVE-2026-92574：容器运行时 CRI-O 在从检查点（checkpoint）恢复时，可能把旧的账户身份、Linux capabilities、no_new_privs 与 seccomp 状态一并带入新 Pod，从而绕过为该 Pod 声明的 Kubernetes 安全策略。
利用前提较窄：攻击者需有权从检查点镜像创建 Pod，且集群启用了检查点恢复。受影响包括受支持的 CRI-O 1.34+，以及 OpenShift 4.17 起相关版本。修复已合入分支但公开时尚未全面发布，管理员应关注厂商渠道。暂无活跃利用报告。