פרויקט Xen פרסם ב-3 בנובמבר את ההתרעה XSA-523 על שתי חולשות, CVE-2026-102703 ו-CVE-2026-102704, במנגנון grant copy שמעתיק נתונים בין מכונות וירטואליות. לפי ההתרעה, מכונה וירטואלית זדונית יכולה לקרוא ולכתוב לזיכרון של מכונות אחרות על אותו שרת מארח, כולל dom0, המכונה בעלת ההרשאות המלאות שמנהלת את כל השאר. כל הגרסאות מ-4.6 ואילך פגיעות; 4.5 ומטה לא.
מקור התקלה, לפי ההסבר: כדי לחסוך זמן בסדרת העתקות באותו דף זיכרון, Xen השתמש שוב בבדיקות הרשאה שכבר ביצע, ובמקרים מסוימים לא בדק מחדש כשהיה צריך. פרויקט Xen ייחס את גילוי החולשות לאנתרופיק, שמצאה אותן בעזרת המודל Claude. חוקר מ-Ada Logics אימת את הממצא, וצוות של CodeAnt AI דיווח עליו בנפרד.
מה לעשות: התיקונים זמינים ואין דרך עקיפה אחרת, ולכן מי שמפעיל שרתי Xen צריך להחיל אותם. מוצרים שבנויים על Xen פגיעים עד שהיצרן שלהם משלב את התיקון: XCP-ng כתבה שמכונה אורחת אחת שנפרצה יכולה להשתלט על השרת כולו, Qubes OS הודיעה שכל הגרסאות הנתמכות שלה מושפעות, ונכון ל-4 בנובמבר דביאן עדיין סימנה את חבילת xen כפגיעה ברוב הגרסאות שלה.
ההתרעה לא מזכירה ניצול בפועל של החולשות ולא מפרטת איזו גישה בתוך המכונה הווירטואלית התוקף צריך.