Sicherheitswarnungen · 10. November 2026
Xen Orchestra: Angreifer umgehen die Anmeldung und übernehmen XCP-ng-Hosts
In der Verwaltungsoberfläche Xen Orchestra lässt sich die Anmeldung mit einem präparierten Cookie umgehen. Der Hersteller Vates meldet laufende Angriffe und hat Updates veröffentlicht.
Worum es geht
Vates Xen Orchestra (inkl. XOA) für XCP-ng
Xen Orchestra ist die Weboberfläche, mit der viele Firmen ihre virtuellen Server auf XCP-ng verwalten, sichern und wiederherstellen. Ein Fehler bei der Prüfung des Anmelde-Cookies führt dazu, dass ein Angreifer ohne Passwort als bereits angemeldeter Benutzer behandelt wird. Meist ist das ein Administrator.
Damit kann der Angreifer alle verwalteten virtuellen Maschinen steuern, Programme in den Pools ausführen und die XCP-ng-Hosts mit vollen Rechten übernehmen. Laut Hersteller hinterlässt eine solche Anmeldung keinen Eintrag im Protokoll.
Vates stuft die Lücke als kritisch ein und bestätigt Angriffe in freier Wildbahn. Seit wann die Angriffe laufen, ist nicht bekannt. Eine CVE-Kennung und eine CVSS-Bewertung gibt es noch nicht. Besonders gefährdet sind Installationen, deren Oberfläche aus dem Internet erreichbar ist.
Betroffen
- Xen Orchestra Appliance (XOA) und selbst gebaute Installationen vor den unten genannten Ständen
- xo-server vor 5.211.2 (Kanal „stable“) bzw. vor 5.213.1 (Kanal „latest“)
Behoben
- xo-server 5.211.2 (stable) und 5.213.1 (latest) laut VSA-2026-062
- Selbst gebaute Installationen: aktuellen Stand aus dem Quellcode neu bauen
Was jetzt zu tun ist
Die nächsten Schritte.
- 01
Prüfen, ob Xen Orchestra aus dem Internet erreichbar ist, und den Zugriff sofort auf ein internes Verwaltungsnetz oder VPN beschränken.
- 02
Die Appliance (XOA) bzw. die eigene Installation auf den im Herstellerhinweis VSA-2026-062 genannten Stand aktualisieren und neu starten.
- 03
Die im Herstellerhinweis genannten Angriffsspuren suchen, etwa unbekannte virtuelle Maschinen oder neue Einträge in den geplanten Aufgaben der Hosts.
- 04
Bei Verdacht auf einen Einbruch alle Kennwörter und Schlüssel wechseln, die Xen Orchestra kennt, und betroffene Systeme aus einem sauberen Stand neu aufsetzen.
- 05
Einen IT-Dienstleister hinzuziehen, wenn die Oberfläche in den letzten Wochen offen im Internet erreichbar war.
Unterstützung
Unsicher, ob Sie betroffen sind?
Wir prüfen Ihre Systeme, spielen die Updates ein und suchen nach Spuren eines Angriffs. Sie bekommen eine klare Antwort: betroffen oder nicht. Betreuungskunden müssen nichts tun, wir kümmern uns bereits darum.
Veröffentlicht am 10. November 2026. Grundlage: Vates (VSA-2026-062) · The Hacker News · Ostorlab. Von uns in eigenen Worten zusammengefasst; verbindlich sind die Hinweise des Herstellers. Alle Sicherheitswarnungen
Passend dazu