Vates confirma que se explota un fallo crítico de Xen Orchestra para tomar servidores virtuales

La empresa francesa Vates publicó el 10 de noviembre el aviso de seguridad VSA-2026-062 sobre un fallo de gravedad crítica en Xen Orchestra, su plataforma web para gestionar entornos de virtualización XCP-ng, y en Xen Orchestra Appliance. Según el aviso, la vulnerabilidad está siendo explotada de forma activa por un atacante.

De acuerdo con Vates, el fallo permite saltarse la autenticación con una cookie manipulada y actuar con privilegios de administrador. La empresa advierte de que comprometer Xen Orchestra puede llevar a ejecutar código en los grupos de servidores gestionados y a tomar el control completo de un nodo XCP-ng como usuario root.

Vates ha publicado las versiones corregidas Xen Orchestra 6.9.1 (estable) y 6.10.0 (más reciente) y recomienda actualizar cuanto antes. Mientras tanto, aconseja no exponer Xen Orchestra a internet, situarlo en una red de gestión dedicada y bloquear la infraestructura del atacante que ha identificado. Si hay sospecha de compromiso, pide cambiar todas las contraseñas y secretos del entorno, porque no descarta el robo de configuración y credenciales.

Según Vates, la explotación no deja rastro en los registros y solo se detecta vigilando el tráfico HTTP. La empresa indica que sus indicadores de compromiso corresponden a la campaña identificada hasta ahora y que no puede descartarse que otros atacantes usen el fallo de otra forma. El aviso aún no tiene identificador CVE ni puntuación de gravedad, según BleepingComputer. No se ha informado de cuántas organizaciones han resultado afectadas.