Vates, pembuat Xen Orchestra, memperingatkan bahwa celah kritis VSA-2026-062 sudah dieksploitasi seorang penyerang. Celah ini memungkinkan pihak tanpa login mendapat hak admin, yang menurut Vates bisa berujung pada eksekusi kode di pool yang dikelola dan pengambilalihan node XCP-ng sebagai root. Belum ada nomor CVE untuk kedua celah dalam laporan ini, menurut SecurityWeek.
Versi terdampak dan perbaikan
Semua Xen Orchestra sebelum 6.9.2 (kanal stabil) dan sebelum 6.10.1 (kanal terbaru) terdampak, termasuk Xen Orchestra Appliance. Perbaikan ada di xo-server 5.211.2 dan 5.213.1, yang termasuk dalam rilis 6.9.2 dan 6.10.1. Akar masalahnya, menurut SecurityWeek, ada pada mekanisme autentikasi REST yang salah menangani token kosong sehingga pemanggil dikenali sebagai pemilik token yang masih berlaku.
Celah kedua belum punya perbaikan
Vates menerbitkan satu advisori lain, VSA-2026-063. Impor VM berbahaya bisa membahayakan host XCP-ng. Penyerang memakainya dengan hak admin, dan perbaikannya masih dikembangkan. Dengan kata lain, pelaku yang lolos lewat celah login bisa memperluas akses ke host selama celah kedua belum ditambal.
Tanda dan langkah pengamanan
Akses tanpa izin tidak tercatat di log. Vates membagikan indikator kompromi: VM bernama pivot2, VM dengan parameter hvm_serial berisi file, serta berkas berawalan zz-ustar di /etc/cron.d. Vates menegaskan indikator itu hanya mencakup kampanye ini, jadi ketiadaannya tidak membuktikan sistem aman. Infrastruktur kendali yang dipublikasikan mencakup alamat 91.211.251.112 (port 8001) dan sebuah alamat onion lewat Tor.
Rekomendasi Vates: perbarui segera, letakkan Xen Orchestra di jaringan manajemen khusus, blokir IP dan domain terkait, tambahkan aturan WAF atau reverse proxy untuk pola token kosong, dan rotasi semua kata sandi serta rahasia bila ada kompromi. Bila kompromi terkonfirmasi, pertimbangkan instal ulang penuh, sebab pembersihan belum tentu menghapus semua backdoor. Administrator yang mengekspos Xen Orchestra ke internet sebaiknya memeriksa tanda di atas hari ini.
Sumber: SecurityWeek, Advisori Vates VSA-2026-062. Gambar: SecurityWeek.