Xen Orchestra-Kimlik Doğrulama Atlatma Açığı, Yönetici Erişimi Sağlıyor ve XCP-ng Sunucularının Ele Geçirilmesine Yol Açabiliyor

Ne oldu

10 Kasım 2026'da Vates, Xen Orchestra'da kritik bir kimlik doğrulama atlatma açığı hakkında VSA-2026-062 numaralı güvenlik danışmanlığını yayımladı. Xen Orchestra, XCP-ng sanallaştırma ortamları için web tabanlı yönetim arayüzüdür. Henüz bir CVE kimliği veya CVSS puanı atanmamıştır.

Açık, REST API'nin oturum çerezini işleme biçiminden kaynaklanmaktadır. Değeri authenticationToken=j:%7B%7D olan bir çerez, boş bir nesneye ({}) ayrıştırılır. Bu nesne, dize olup olmadığı doğrulanmadan belirteç kontrolüne iletilir. Belirteç araması ardından kayıtlı ilk belirteci döndürür ve belirteç süresi dolmadığı sürece istek, o belirtecin sahibi olarak kimlik doğrulamasından geçer. /rest/v0/users/me/authentication_tokens uç noktası üzerinden bir saldırgan, yeniden kullanılabilir oturum açma belirteci kimliklerini okuyabilir.

Vates'e göre bir saldırgan bunu kullanarak kimlik bilgisi olmadan Xen Orchestra'da Yönetici yetkileriyle işlem yapabilir. Bu durum, yönetilen havuzlarda rastgele kod yürütülmesine ve XCP-ng sunucularının root olarak tamamen ele geçirilmesine yol açabilir.

Vates, açığın 91.211.251.112:8001 adresinden ve bir Tor adresinden (aşağıya bakın) faaliyet gösteren bir tehdit aktörü tarafından aktif olarak istismar edildiğini belirtiyor. Saldırıların ne zaman başladığı veya düzeltme yayımlanmadan önce açığın istismar edilip edilmediği bilinmiyor. Açık, TDC NET Security'den Filip Magic ve Christoffer Olsen tarafından keşfedilmiştir.

Kimler etkileniyor

• 6.9.1 öncesi Xen Orchestra (kararlı kanal) ve 6.10.0 öncesi (en son kanal)
• 5.211.2 öncesi (kararlı) ve 5.213.1 öncesi (en son) ilgili xo-server paketleri
• Xen Orchestra Appliance (XOA)

Saldırganın Xen Orchestra web arayüzüne ağ erişimi olması gerekir. İnternetten erişilebilen örnekler en yüksek risk altındadır. XCP-ng sunucuları, Xen Orchestra tarafından yönetildikleri için risk altındadır. Xen Orchestra kullanmıyorsanız, bu danışmanlık sizi etkilemez.

Şimdi yapılması gerekenler

1. Xen Orchestra'yı güncelleyin. Kararlı kanalda Xen Orchestra 6.9.1 veya en son kanalda 6.10.0 sürümünü kurun. Bunlar xo-server 5.211.2 (kararlı) veya 5.213.1 (en son) sürümlerini içerir. Önce Xen Orchestra yapılandırmanızın yedeğini alın. Güncellemeden sonra xo-server'ın çalıştığını ve oturum açıp havuzlarınızı görebildiğinizi doğrulayın.
2. Erişimi kısıtlayın. Xen Orchestra'yı internete açmayın. Vates, yalnızca yöneticilerin erişebildiği ayrılmış bir yönetim ağına, örneğin bir VPN üzerinden erişilecek şekilde yerleştirmenizi öneriyor.
3. Saldırgan altyapısını engelleyin. Vates, 91.211.251.112 adresi için giriş ve çıkış filtreleme kuralları ile Tor trafiğinin engellenmesini öneriyor; böylece sunucular ustar3rqxgnskzgnwkgpofgtvxevm6cx3lxdbwt4mndtveqyaohid.onion adresine ulaşamaz.
4. Hemen güncelleyemiyorsanız, Xen Orchestra'nın önündeki bir WAF veya ters proxy üzerinden boş belirteci engelleyin. authenticationToken=j:{} ve authenticationToken=j:%7B%7D çerez desenlerini eşleştirin.
5. Ele geçirilme olup olmadığını kontrol edin (sonraki bölüme bakın). Ele geçirilme belirtisi bulursanız, Xen Orchestra ve XCP-ng ortamınızda kullanılan tüm parolaları ve gizli anahtarları yenileyin ve etkilenen sunucuları ve sanal makineleri inceleyin.

Etkilenip etkilenmediğinizi nasıl kontrol edersiniz

Önce web arayüzünde veya appliance üzerinde Xen Orchestra sürümünüzü kontrol edin. 6.9.1 (kararlı) veya 6.10.0 (en son) sürümünden eskiyse sistem savunmasızdır.

Vates ve yayımlanan raporlar, bilinen saldırı kampanyası için şu ihlal göstergelerini listeler:

• authenticationToken=j:%7B%7D veya authenticationToken=j:{} içeren HTTP istekleri
• 91.211.251.112:8001 veya ustar3rqxgnskzgnwkgpofgtvxevm6cx3lxdbwt4mndtveqyaohid.onion:3333 adreslerine bağlantılar
• pivot2 adlı bir sanal makine
• hvm_serial: file ile yapılandırılmış sanal makineler
• /etc/cron.d/zz-ustar, /etc/cron.d/zz-ustar2, /.ustar5 ve /.ustar6 dosyaları

XCP-ng sunucularında Vates'in önerdiği kontrolleri çalıştırın:

xe vm-list params=name-label,platform | grep -B1 'hvm_serial: file'

zgrep -- '-serial file:' /var/log/xensource.log*

ls -la /etc/ld.so.preload /.ustar* /etc/cron.d/zz-ustar*

Ayrıca xe vm-list name-label=pivot2 gibi bir komutla pivot2 adlı bir sanal makine olup olmadığını arayın.

Raporlara göre Xen Orchestra, özel hazırlanmış çerezi kaydetmez. Bunu yalnızca HTTP izleme yoluyla, örneğin Xen Orchestra'nın önündeki ters proxy'nin erişim günlüklerinde tespit edebilirsiniz. Bu günlükleri ve güvenlik duvarı günlüklerinizi, yukarıdaki çerez desenleri ve adresler için kontrol edin. Vates, bu göstergelerin bilinen tek bir kampanyaya ait olduğunu belirtiyor. Diğer saldırganlar farklı izler bırakabilir; bu nedenle bu göstergelerin hiçbirinin bulunmaması, bir sistemin temiz olduğunu kanıtlamaz.

Kaynaklar

• https://www.cisa.gov/known-exploited-vulnerabilities-catalog
• https://thehackernews.com/2026/11/hackers-exploit-critical-xen-orchestra.html