Xen Orchestra : Vates publie les correctifs 6.10.1 et 6.9.2 d’une faille déjà exploitée

Vates a mis à jour le 10 novembre 2026 l’avis VSA-2026-062, classé critique, et y désigne Xen Orchestra 6.10.1 sur le canal latest et 6.9.2 sur le canal stable comme versions corrigées d’une faille déjà exploitée.

Xen Orchestra est l’interface d’administration des pools XCP-ng et Xen éditée par Vates. L’avis public, relu le 11 novembre 2026 vers 0 h 10 UTC, porte le statut Released. La sévérité affichée est critique. Le champ CVSS 4.0 reste vide, avec la mention « Not available yet ». Aucun identifiant CVE n’apparaît sur la page.

Ce que Vates décrit comme impact

La section Impact dit qu’un adversaire peut contourner l’authentification et mener des actions avec le privilège Admin. Vates ajoute, dans la même section :

Xen Orchestra compromise can lead to arbitrary code execution on managed pools and a full XCP-ng node takeover as root.

La phrase compte vingt mots. Elle est la seule citation de cet article. Elle décrit une prise de contrôle d’un nœud XCP-ng avec les droits root, après une compromission de Xen Orchestra, selon les termes de l’éditeur.

Vates annonce que la faille est exploitée activement. Les méthodes de détection fournies ne couvrent que la campagne déjà identifiée. L’éditeur écrit qu’une exploitation par d’autres acteurs, avec d’autres modes opératoires et d’autres infrastructures, ne peut pas être écartée. L’absence des indices de cette campagne ne suffit donc pas à tenir une installation pour intacte.

Vates indique aussi qu’une exploitation réussie ne laisse pas, côté Xen Orchestra, de journal d’accès non authentifié. Le détail des traces décrites pour la campagne observée reste dans l’avis. Cet article ne le reprend pas : il ne donne ni motif de requête, ni adresse, ni nom de fichier, ni nom de machine virtuelle, ni commande.

Les numéros à installer le 11 novembre

La section Affected Versions, sur la page lue dans la nuit du 10 au 11 novembre 2026, indique Xen Orchestra avant la version 6.9.2 sur le canal stable et avant la version 6.10.1 sur le canal latest. Xen Orchestra Appliance est également marqué affecté. Une installation encore en 6.10.0 sur latest, ou en 6.9.1 sur stable, se trouve donc sous les numéros que l’avis désigne comme corrigés.

La section Resolution, datée du 10 novembre 2026, écrit que Xen Orchestra 6.10.1 et Xen Orchestra 6.9.2 incluent le correctif. La 6.10.1 est disponible sur le canal latest. La 6.9.2 est disponible sur le canal stable. Les paquets listés sont xo-server 5.213.1 pour latest et xo-server 5.211.2 pour stable. Pour une installation compilée depuis les sources, Vates recommande de passer au dernier état de la branche master.

Réseau d’administration et secrets

Vates demande de mettre à jour dès que possible et de ne pas exposer Xen Orchestra à Internet. L’instance doit être placée sur un réseau d’administration dédié. Si Xen Orchestra a été compromis, l’éditeur demande de renouveler les mots de passe et les secrets utilisés par Vates VMS : proxys, destinations de sauvegarde, compte root, secret de pool, comptes d’utilisateurs, secrets de second facteur et mots de passe du serveur de courrier. En cas de compromission confirmée, Vates recommande une réinstallation complète, un nettoyage ne garantissant pas le retrait de tout ce qu’un attaquant a pu déposer.

Les découvreurs nommés sur l’avis sont Filip Magic, identifié par le pseudonyme mad31k, et Christoffer Olsen, de TDC NET Security. La page mentionne une demande de modification interne. Cet article ne la lie pas.

KLYNLABS a déjà rendu compte d’une autre console d’administration virtuelle placée sous alerte après une exploitation constatée, vCenter. Il s’agit d’un autre produit et d’un autre avis. Le correctif à appliquer ici est celui de Vates, aux numéros ci-dessus.

Sources

Avis VSA-2026-062, Vates, publié et mis à jour le 10 novembre 2026, relu le 11 novembre 2026.