Xen Orchestra'daki kritik kimlik doğrulama atlatma açığı aktif olarak sömürülüyor

Vates, Xen Orchestra'da VSA-2026-062 kodlu kritik bir kimlik doğrulama atlatma açığının canlı saldırılarda kullanıldığını duyurdu; açık, sunucuları ele geçirmeye ve XCP-ng ana makinelerinde root yetkisi almaya imkân veriyor.

Güncellendi: 11 Kasım 2026

Vates, Xen Orchestra'da VSA-2026-062 kodlu kritik bir kimlik doğrulama atlatma açığını açıkladı ve bu açığın canlı saldırılarda kullanıldığını bildirdi. Saldırgan, authenticationToken çerezine boş bir JSON nesnesi içeren özel hazırlanmış bir değer koyuyor. Platform bunun üzerine mevcut bir token döndürüyor ve saldırgan, o tokenın sahibi olarak giriş yapmış oluyor. Bu oturum Admin yetkisi veriyor; yönetici yetkisiyle saldırgan yönetilen havuzlarda kod çalıştırabiliyor ve XCP-ng ana makinelerini root olarak tamamen ele geçirebiliyor.

Vates, açığın Xen Orchestra 6.9.1 ve 6.10.0 ile xo-server 5.211.2 ve 5.213.1 sürümlerinde giderildiğini belirtiyor. Bir raporda ise daha sonraki 6.9.2 ve 6.10.1 sürümlerinin düzeltmeyi içerdiği yazıyor; bu nedenle yöneticilerin çalıştırdıkları sürümü doğrulaması gerekiyor. Hemen yama uygulayamayan operatörler platformu genel internetten uzak tutmalı, listelenen IP adresini ve onion adresini engellemeli ve boş tokenı bir WAF ya da ters proxy üzerinde filtrelemeli.

Ayrıca kötü amaçlı VM içe aktarımına izin veren ikinci bir açığın da sömürüldüğü bildirildi; bu açık için düzeltme hâlâ geliştirme aşamasında. Yetkisiz erişimler kayda geçmediği için bu sömürünün HTTP izleme yoluyla tespit edilmesi gerekiyor.