法國 Vates 11 月 10 日發布 Xen Orchestra 安全公告 VSA-2026-062，指出 REST API 會把 authenticationToken=j:%7B%7D 這種內容為空物件的 cookie 當成不篩選的查詢，直接以第一個未過期權杖的擁有者身分登入，並確認此漏洞已遭攻擊者實際利用 [1]。Vates 將其評為「Critical」，表示攻擊者可繞過驗證以管理員權限操作，進而在受管資源池執行任意程式碼並以 root 完全接管 XCP-ng 節點，目前尚未分配 CVE 編號與 CVSS 分數 [1][2]。管理者應立即將 Xen Orchestra 升級至 6.9.1（stable）或 6.10.0（latest），暫時無法升級時不要讓 Xen Orchestra 暴露於網際網路並封鎖 91.211.251.112 與 Tor 流量，若已遭入侵則輪替所有密碼與密鑰 [1][2]。
嚴重進行中官方確認
Xen Orchestra 空物件登入權杖漏洞 VSA-2026-062 已遭攻擊者利用，可免密碼取得管理員權限並以 root 接管 XCP-ng 主機
閱讀約 2 分鐘
- 揭露
- 2026年11月10日
- 發生
- 2026年11月10日
- 發布
- 2026年11月11日
- 最後更新
- 2026年11月11日
- CVSS 依據
- 本站評估
- 利用與修補狀態
- 已遭利用已有修補
- 技術 / 系統類型
- 初始入侵方式
- 漏洞狀態
- 攻擊者類型
本頁內容
30 秒摘要
受影響範圍
| 受影響範圍 | 版本 | 修補版本 | |
|---|---|---|---|
| Vates Xen Orchestra / Xen Orchestra Appliance | < 6.9.1 (stable), < 6.10.0 (latest)[1] | 6.9.1 / 6.10.0 | ✓ 已修補 |
我有用這個產品嗎？
把產品加入你的系統清單，之後有相關通報或重大進展會寄信通知你。
事件時間軸
技術細節
發生什麼
Xen Orchestra 是法國軟體公司 Vates 開發、用來管理 XCP-ng 虛擬化環境的網頁管理平台 [2]。Vates 於 2026 年 11 月 10 日發布 VSA-2026-062，說明 REST 的 cookie 解析會把 authenticationToken=j:%7B%7D 轉成空物件 {}，驗證流程未要求字串就交給權杖提供者，權杖集合把 {} 當成不篩選的查詢並回傳第一個權杖，只要該權杖未過期，就會以其擁有者身分登入；登入後還能透過 /rest/v0/users/me/authentication_tokens 取得可重複使用的登入權杖 ID [1][2]。
影響範圍
Vates 將此漏洞評為 Critical，影響 Xen Orchestra 與 Xen Orchestra Appliance（XOA）；攻擊者可繞過驗證以管理員權限操作，進而在受管資源池執行任意程式碼並以 root 完全接管 XCP-ng 節點 [1]。Vates 表示此漏洞正遭從 91.211.251.112:8001 與一個 Tor 洋蔥位址運作的攻擊者利用，目前尚未分配 編號與 分數 [1][2]。漏洞由 TDC NET Security 的 Filip Magic 與 Christoffer Olsen 發現 [1]。
修補與偵測
Vates 已在 Xen Orchestra 6.9.1（stable，xo-server 5.211.2）與 6.10.0（latest，xo-server 5.213.1）修補此問題 [1][2]。Vates 指出成功利用時不會留下未驗證存取的日誌，只能透過監看 HTTP 請求中的 authenticationToken=j:%7B%7D 或 authenticationToken=j:{} 偵測，並列出 hvm_serial: file 設定、pivot2 VM 及 /etc/cron.d/zz-ustar 等檔案作為；這些指標只涵蓋目前已知的攻擊活動，沒有出現也不代表未遭入侵 [1]。
建議措施
Vates 強烈建議盡快升級；暫時無法升級時，不要讓 Xen Orchestra 暴露於網際網路、改放專用管理網路，封鎖攻擊者 IP 與 Tor 流量，並可在 WAF 或反向代理阻擋空權杖；若已遭入侵，應輪替 Vates VMS 使用的所有密碼與密鑰，包括代理、備份、S3、root 與使用者帳號 [1]。
修復指引
廠商建議
- 1升級 Xen Orchestra patch[1]
升級至 6.9.1（stable，xo-server 5.211.2）或 6.10.0（latest，xo-server 5.213.1）。
- 2限制管理介面並封鎖攻擊來源 mitigate[1]
不要讓 Xen Orchestra 暴露於網際網路，改放專用管理網路，封鎖 91.211.251.112 與 Tor 流量，並在 WAF 或反向代理阻擋空權杖 cookie。
- 3檢查入侵指標 detect[1]
監看 HTTP 請求中的 authenticationToken=j:{}，並在 XCP-ng 主機檢查 hvm_serial: file 設定、pivot2 VM 與 /etc/cron.d/zz-ustar 等檔案。
- 4遭入侵時輪替憑證 mitigate[1]
輪替 Vates VMS 使用的所有密碼與密鑰，包括代理、備份、S3、root 與使用者帳號。
參考來源
官方 / 一級來源1
- [1]
“An adversary can bypass authentication and perform actions with 'Admin' privilege. Xen Orchestra compromise can lead to arbitrary code execution on managed pools and a full XCP-ng node takeover as root .”
媒體報導1
- [2]
本站內容為公開資訊整理，不構成資安顧問建議；修復步驟請先於測試環境驗證。