Критична уязвимост в Citrix XenServer може да позволи на хакери да превземат хостове за виртуализация без удостоверяване

Citrix разкри критична уязвимост в XenServer, която може да позволи на неудостоверен атакуващ да компрометира хостове за виртуализация и поддържащи софтуерни устройства (appliances).

Проследяван като CVE-2026-98432, пропускът изисква достъп до мрежата за управление — важно ограничение при оценката кои системи са изложени на риск.

Бюлетинът за сигурност от 3 ноември обхваща XenServer 8.4 и XenServer 9, заедно със засегнатите устройства Workload Balancing и Conversion Manager.

За разлика от по-рано докладваните уязвимости в гост системите на Citrix XenServer, основният проблем не изисква привилегирован акаунт вътре във виртуална машина.

Изследователите от Citrix отбелязват, че проблемът може да компрометира хоста, работещите устройства Workload Balancing или устройствата Conversion Manager.

Критична уязвимост в Citrix XenServer

Разкритието се отнася до софтуерни уязвимости, а не до идентифицирана кампания със зловреден софтуер; бюлетинът не назовава зловреден софтуер и не потвърждава активна експлоатация.

Достъпът до мрежата за управление остава основното изискване за CVE-2026-98432. Известието не описва неограничена атака през интернет, не публикува верига за експлоатация и не обяснява основната програмна грешка.

Поради това администраторите трябва да избягват да третират всяко внедряване като еднакво застрашено, без да проверят мрежовата достъпност. Отделен пропуск, CVE-2026-102703, може да позволи на привилегирован потребител в гост система да компрометира хоста.

По-ранни проблеми със сигурността на хипервайзора на Citrix включваха сривове на хоста, което подчертава защо отказът на достъпност и компрометирането на хоста трябва да останат разграничени при обясняване на рисковете при виртуализацията.

Шест допълнителни уязвимости засягат мрежовото зареждане (network booting) или Secure Boot. Неудостоверен атакуващ в същата мрежа може да компрометира виртуална машина, зареждаща се чрез PXE по време на стартиране, докато администратор на гост система може да заобиколи политиката за Secure Boot на гост машината.

Бюлетинът групира тези резултати, без да присвоява на всеки от тях отделни идентификатори. Citrix пусна корекции за сигурност чрез каналите Normal и Early Access и за двете версии на XenServer.

Администраторите трябва да следват официалния бюлетин за сигурност, да актуализират Workload Balancing до версия 2026.1.1 или по-нова и да инсталират Conversion Manager 2026.2.0.

Прегледът на добрите практики за сигурност на хипервайзорите също може да подпомогне изолирането на мрежата за управление, докато екипите координират внедряването на корекциите за сигурност.

Индикатори за компрометиране (IoCs):-

Забележка: IP адресите и домейните са умишлено деактивирани (напр. [.]), за да се предотврати случайно разрешаване на имена или отваряне на хипервръзки. Възстановявайте ги само в контролирани платформи за разузнаване на заплахи като MISP, VirusTotal или вашия SIEM.