Xen Orchestra 驗證繞過漏洞已遭利用，請更新至 6.9.2／6.10.1
原始來源： Vates · 2026/11/10
法國公司 Vates 於 2026/11/10 發布安全公告 VSA-2026-062，警示 Xen Orchestra（含 Xen Orchestra Appliance）存在嚴重驗證繞過漏洞，且已遭實際利用。攻擊者可送出特製的驗證 Cookie，使系統在未提供有效權杖字串的情況下，取用既有權杖並以該權杖擁有者身分通過驗證，進而以管理員權限操作，最終可能在受管資源池執行程式碼，並以 root 權限接管 XCP-ng 節點。撰文時尚未分配 CVE。原廠公告指出，6.9.2（穩定通道）與 6.10.1（最新通道）之前的版本受影響，應立即更新；若無法立刻修補，應避免將管理介面暴露於網際網路，並依公告檢查入侵指標、輪換密碼與密鑰。
重點先看
Xen Orchestra 驗證繞過漏洞 VSA-2026-062 已遭利用。請立即更新至 6.9.2 或 6.10.1，並檢查是否出現公告所列的入侵跡象。
發生了什麼
依 Vates 於 2026/11/10 發布的安全公告 VSA-2026-062，以及 The Hacker News 同日報導，Xen Orchestra 與 Xen Orchestra Appliance 存在嚴重驗證繞過問題，原廠評為 Critical，並明確寫出「正遭到威脅行為者利用」。漏洞成因是 REST Cookie 解析與權杖查詢邏輯不當：特製的空物件驗證 Cookie 會被當成未過濾的查詢條件，進而取回既有權杖，並在權杖仍有效時，以該權杖擁有者身分完成驗證；隨後可自相關 REST 路徑取得可重用的登入權杖識別碼。 成功利用後，攻擊者能以管理員權限操作。Vates 指出，Xen Orchestra 一旦失陷，可能在受管資源池執行任意程式碼，並以 root 權限完全接管 XCP-ng 節點。撰文時尚未提供 CVE 或 CVSS 分數。公開報導並未說明活動何時開始，也無法確認此漏洞是否曾以零時差方式被利用。
修補版本與入侵指標
Vates 公告載明：穩定通道 6.9.2 與最新通道 6.10.1 之前的 Xen Orchestra 版本受影響，Xen Orchestra Appliance 亦受影響。請以原廠公告為準進行更新（部分較早新聞曾列出其他版號）。 偵測方面，原廠指出成功利用時，系統本身可能沒有未驗證存取的紀錄，但可在 HTTP 請求中尋找特定空物件驗證 Cookie 模式，並檢查是否出現名稱為 pivot2 的執行中虛擬機、以特定序列參數設定的虛擬機，以及公告列出的可疑排程或隱藏檔。公告同時列出多個應封鎖的位址與一個 Tor 網域，並提醒：沒有看到這些指標，不足以認定未被入侵；其他攻擊者也可能使用不同手法。
建議立即處置
部署 Xen Orchestra 或 XCP-ng 管理平面的單位，建議依序處理： 1. 立即更新至 Xen Orchestra 6.9.2（穩定通道）或 6.10.1（最新通道），或依公告安裝對應的 xo-server 修補，並重啟相關服務。 2. 管理介面不應直接暴露於網際網路，改置於專用管理網、VPN 或來源限制之後。 3. 依公告檢查 HTTP 紀錄、異常虛擬機、排程工作與列出的檔案指標。 4. 若出現可疑跡象，輪換 Vates／XO 相關密碼與密鑰，包括主機 root、資源池密鑰、使用者與一次性密碼、代理與備份遠端（NFS、物件儲存等）憑證。 5. 封鎖公告列出的惡意基礎設施，並限制不必要的 Tor 連線。 6. 若已確認失陷，原廠建議考慮完整重裝，因為僅清除不一定能保證後門已全部移除。
為什麼重要
虛擬化管理平面一旦被取得管理員權限，影響的不只是單一虛擬機，而是整批受管主機。此漏洞不需要先竊取管理員密碼，且原廠已確認遭到利用，對仍把 Xen Orchestra 放在公網的環境尤其急迫。 建議立刻完成更新並收回暴露面，以 CloudCoffer UTDS 協助偵測針對管理介面的異常請求與利用嘗試，並由 DevaEye MDR 託管防護監看失陷後的異常虛擬機與權限異動。
Cloudforce 可以協助哪些？
針對虛擬化管理介面遭驗證繞過、進而可能接管主機的風險，可依下列方案對應： 1. CloudCoffer UTDS：以 MatrixShield 未知威脅偵測分析通往管理介面的流量，協助發現異常驗證請求與利用嘗試；並以 MatrixScope 盤點對外暴露的管理與 API 介面。這可補足「成功利用時主機本身可能沒有未驗證登入紀錄」時的偵測缺口，但不能取代更新與網路隔離。 2. DevaEye MDR 託管防護：7×24 監看異常虛擬機、可疑排程、權限與密鑰異動及異常外連，協助研判是否已遭利用並進行應變。 3. Illumio（降低勒索橫向擴散）：以微分割限制管理平面與受管主機、備份與其他網段之間的連線，降低單一管理介面失陷後擴大的範圍。
常見問題
要更新到哪個版本？
依 Vates 2026/11/10 公告，應更新至穩定通道 6.9.2 或最新通道 6.10.1；Appliance 使用者請依原廠更新流程升級。請以官方公告為準。
沒有對網際網路開放就沒有風險嗎？
原廠也提醒，多數未對公網開放的部署被利用的機會較低，但仍應更新。管理平面即使在內網，也不應被過大網段任意連線。
沒看到公告中的檔案或虛擬機，是否代表安全？
不足以這樣認定。原廠說明這些指標對應目前掌握的活動，其他攻擊者可能使用不同手法；成功利用時也不一定留下未驗證登入紀錄。
無法立刻更新時怎麼辦？
先將 Xen Orchestra 移出公網、限制來源，並依公告封鎖相關基礎設施；同時盡速安排更新。這些措施不能取代修補。
CloudCoffer UTDS 能如何協助？
可協助盤點管理介面暴露面，並偵測異常驗證與利用流量，補足主機日誌可能看不到此次繞過行為時的缺口。更新與隔離仍是首要工作。