Xen Orchestra 认证绕过漏洞遭实际利用，Vates 发布修复版本
Vates 于 2026年11月10日发布安全公告 VSA-2026-062，指出该认证绕过漏洞可让攻击者获得管理员权限并控制连接的 XCP-ng 主机。
据 dailysecu.com 报道，Vates 于 2026年11月10日发布安全公告 VSA-2026-062，要求 Xen Orchestra 用户立即更新。公告将该认证绕过漏洞评为严重级别。
漏洞位于管理服务器对登录令牌的验证环节。攻击者绕过认证并获得管理员权限后，可在受管的虚拟化环境中执行任意代码，并在已连接的 XCP-ng 主机上取得 root 权限。受影响产品包括 Xen Orchestra 和 Xen Orchestra Appliance（XOA）。
修复版本为稳定通道的 6.9.2 和最新通道的 6.10.1。
排查与处置建议
Vates 建议阻止管理控制台暴露在互联网上，并将其隔离在专用的管理网络中。由于认证绕过可能在 Xen Orchestra 日志中不留痕迹，还应同步检查已连接的 XCP-ng 主机。
若确认遭遇入侵，Vates 建议轮换备份、存储等关联系统的凭据，并重装系统。
快速问答
修复版本是哪个？
稳定通道为 6.9.2，最新通道为 6.10.1。
哪些产品受影响？
Xen Orchestra 和 Xen Orchestra Appliance（XOA）。
如何降低风险？
阻止管理控制台暴露在互联网上，并将其隔离在专用管理网络中，同时检查连接的 XCP-ng 主机。