Xen Orchestra היא פלטפורמת ניהול מבוססת דפדפן לסביבות וירטואליזציה של XCP-ng ו-XenServer: מכונות וירטואליות, שרתים, אחסון וגיבוי. לפי Vates, החולשה (VSA-2026-062, עדיין בלי מספר CVE) נמצאת במנגנון ההזדהות של ה-REST API, ומאפשרת לתוקף עם גישת רשת לממשק הניהול להתחבר כמנהל בלי פרטי הזדהות. לדברי החברה, פריצה כזו יכולה להוביל להרצת קוד ולהשתלטות מלאה על שרת XCP-ng בהרשאות root.
החולשה משפיעה על גרסאות Xen Orchestra שלפני 6.9.2 (יציבה) ו-6.10.1 (אחרונה), ועל Xen Orchestra Appliance. לפי SecurityWeek, Vates חשפה גם חולשה שנייה שאותו תוקף ניצל אחרי שקיבל הרשאות מנהל, דרך ייבוא מכונות וירטואליות זדוניות, ותיקון עבורה עדיין בפיתוח.
מה לעשות: לעדכן מיד; להעביר את ממשק Xen Orchestra לרשת ניהול נפרדת; לחסום את הכתובות שפורסמו כסימני פריצה; ולהחליף פרטי הזדהות שאולי נחשפו. Vates מציינת שגישה לא מורשית כזו לא נרשמת ביומנים, ושהיעדר סימני הפריצה שפורסמו לא מוכיח שלא הייתה פריצה. במקרה של פריצה מאומתת היא ממליצה על התקנה מחדש מלאה.
