Xen Orchestraに認証回避の脆弱性、修正版6.9.2と6.10.1公開

Vatesは2026年11月10日、セキュリティ勧告VSA-2026-062を公開し、仮想化管理ツール「Xen Orchestra」の緊急アップデートを呼びかけた。脆弱性は管理サーバー上でのログイントークンの検証に存在し、勧告はこれを認証回避につながる重大なものと位置づけている。dailysecu.comが伝えた。

認証を回避して管理者権限を取得した攻撃者は、管理対象の仮想化環境で任意のコードを実行でき、接続されたXCP-ngホスト上でroot権限を奪取できるという。影響を受けるのはXen OrchestraとXen Orchestra Appliance（XOA）で、修正版は安定版チャネルの6.9.2と最新版チャネルの6.10.1。

Vatesは、管理コンソールのインターネットへの露出を遮断し、専用の管理ネットワーク上に隔離するよう推奨している。

侵害確認時の対応

認証回避はXen Orchestraのログに痕跡を残さない可能性があるため、接続されたXCP-ngホストも併せて点検する必要がある。侵害が確認された場合、Vatesはバックアップやストレージなど連携システムの認証情報をローテーションし、システムを再インストールするよう勧めている。