Falha crítica no Xen Orchestra permite bypass de autenticação

Hackers Exploit Critical Xen Orchestra Auth Bypass Flaw to Gain Admin Access

Vulnerabilidade VSA-2026-062 em Xen Orchestra está sendo explorada em produção para contornar autenticação e obter acesso admin; ainda não tem CVE e envolve parsing de cookie REST.

Pesquisadores da Vates VMS confirmam exploração ativa da falha VSA-2026-062 em Xen Orchestra: parsing do cookie REST converte authenticationToken=j:%7B%7D em {} e o token provider aceita o objeto vazio, permitindo bypass de autenticação, retorno de tokens reutilizáveis e ações com privilégios Admin, levando potencialmente a execução remota em pools gerenciados e takeover de nós XCP-ng como root. A vulnerabilidade ainda não tem CVE identifier e está sendo explorada em produção por um ator associado ao IP 91.211.251[.]112:8001 e ao domínio Tor ustar3rqxgnskzgnwkgpofgtvxevm6cx3lxdbwt4mndtveqyaohid[.]onion:3333; outros IOCs incluem requests com authenticationToken=j:%7B%7D ou authenticationToken=j:{} , VM chamada pivot2, VMs com hvm_serial: file e arquivos suspeitos /etc/cron.d/zz-ustar2, /etc/cron.d/zz-ustar, /.ustar5 e /.ustar6.

Engenheiros devem aplicar os patches publicados (Xen Orchestra 6.9.1 e 6.10.0; xo-server 5.211.2 e 5.213.1), isolar instâncias afetadas, evitar expor XO à internet, bloquear o IP e o domínio maliciosos, configurar WAF/reverse proxy para bloquear o token vazio e rotacionar todas as credenciais e segredos se houver IOCs detectados.

• #authentication-bypass
• #authentication
• #breach
• #xen-orchestra
• #vates
• #cisa