מעקב הסייבר של Top-Secured: ניתוח עצמאי המבוסס על המקורות המפורטים בהמשך. Top-Secured אינה קשורה לחברות המוזכרות ולעולם לא תבקש מכם פרטי בנק או סיסמאות.
Vates תיקנה חולשה קריטית ב-Xen Orchestra, ממשק הווב לניהול שרתי XCP-ng, ומדווחת שהיא כבר מנוצלת. עוגייה מזויפת מספיקה כדי להתחזות, ללא סיסמה, למשתמש קיים, בדרך כלל מנהל מערכת. גרסאות 6.9.2 ו-6.10.1 מתקנות אותה; יש גם לבדוק אם ממשקים חשופים כבר נפרצו.
מה קרה
ב-10 בנובמבר 2026 פרסמה החברה הצרפתית Vates, המפתחת את Xen Orchestra ואת XCP-ng, את ההודעה VSA-2026-062 בדרגת חומרה קריטית, וציינה שהחולשה מנוצלת באופן פעיל. בעת הפרסום לא הוקצו לה מזהה CVE או ציון CVSS. הגרסאות המתוקנות יצאו באותו יום.
הפגם נמצא במנגנון האימות של ה-API מסוג REST. עוגייה שבה האסימון הוא אובייקט ריק שנבנה במיוחד, במקום מחרוזת טקסט, מגיעה ללא בדיקה לחיפוש האסימונים. החיפוש מחזיר אז את האסימון התקף הראשון ששמור ב-Xen Orchestra, והבקשה מטופלת כאילו הגיעה מבעליו. משם יכול התוקף להציג אסימוני התחברות לשימוש חוזר ולפעול בהרשאות מנהל. התיקון, שמוזג ב-GitHub, דוחה כל אסימון שאינו מחרוזת לא ריקה.
מי בסיכון
כל ההתקנות של Xen Orchestra שקודמות ל-6.9.2 (ערוץ stable) ול-6.10.1 (ערוץ latest), בין אם זו מכונת XOA ובין אם גרסה שנבנתה מקוד המקור. לפי Vates, השתלטות על הממשק עלולה להוביל להרצת קוד על ה-pools המנוהלים ולגישת root לשרתי XCP-ng. ממשקים שנגישים מהאינטרנט נמצאים בקו הראשון.
מה לעשות עכשיו
- עדכנו: את XOA לגרסה 6.9.2 (stable) או 6.10.1 (latest), כלומר xo-server 5.211.2 או 5.213.1; התקנות מקוד המקור לקומיט האחרון של
master, ולאחר מכן בנייה מחדש. - הוציאו את הממשק מהאינטרנט: רק רשת ניהול ייעודית או VPN.
- סננו: חסמו את כתובות ה-IP ואת כתובת ה-Tor שמופיעות בהודעה, ובשרת ה-reverse proxy חסמו בקשות שבהן העוגייה
authenticationTokenמתחילה ב-j:. Vates מזהירה שקידודים אחרים עלולים לעקוף כלל כזה. - חפשו עקבות: תקיפה מוצלחת לא משאירה רישום ביומן האימות. חפשו מכונה וירטואלית בשם
pivot2, ובכל שרת XCP-ng הריצוxe vm-list params=name-label,platform | grep -B1 'hvm_serial: file', zgrep -- '-serial file:' /var/log/xensource.log*ו-ls -la /etc/ld.so.preload /.ustar* /etc/cron.d/zz-ustar*. - במקרה של פריצה: החליפו את כל הסודות שהפלטפורמה מכירה (חשבונות root, סוד ה-pool, יעדי גיבוי, שרתי proxy, משתמשים, סודות OTP, שרת דואר) וכפי ש-Vates ממליצה, התקינו מחדש במקום לנקות.
הניתוח שלנו
ממשק הניהול של hypervisor מחזיק את המפתחות לכל המכונות הווירטואליות: זה השרת הרגיש ביותר בארגון, ואין לו מה לחפש באינטרנט. הפעם עדכון לבדו לא מספיק: מכיוון שהתקיפה לא משאירה עקבות התחברות, רק בדיקה של השרתים תגלה אם מישהו כבר נכנס.
מקורות
- Vates — VSA-2026-062: Empty-object login token
- GitHub (vatesfr/xen-orchestra) — fix(xo-server): validate authentication token IDs, PR #10748
- The Hacker News — Hackers Exploit Critical Xen Orchestra Auth Bypass Flaw to Gain Admin Access
איך אנחנו בוחרים, מאמתים וכותבים את הניתוחים שלנו ←
האם השרת שלכם חשוף? הריצו בדיקה חינמית — מידע ציבורי בלבד, ללא חדירה:
חוששים שהשרתים שלכם חשופים? הצוות שלנו בודק, מעדכן ומנטר תשתיות Linux וענן 24/7.
דברו עם מומחה שירותי ניהול השרתים שלנו ←
