Citrix опубликовала уведомление CTX697256 о нескольких уязвимостях в XenServer - платформе виртуализации. Часть из них позволяет атакующему без учётных данных, находящемуся в сети управления, скомпрометировать хост, а также работающие с ним приложения Workload Balancing и Conversion Manager. Другая уязвимость даёт привилегированному пользователю гостевой виртуальной машины контроль над хостом. Отдельная группа касается сетевой загрузки (PXE): она позволяет скомпрометировать виртуальную машину на этапе начального старта или обойти политику защищённой загрузки (Secure Boot).
Сеть управления, гостевые машины и сетевая загрузка
Уведомление опубликовано 3 ноября 2026 года, уровень серьёзности Citrix обозначила как Critical. Числовой оценки вендор не приводит, поэтому балльной характеристики у этих уязвимостей нет. Исправления уже разложены в каналы Early Access и Normal обеих веток - XenServer 8.4 и XenServer 9, так что ждать следующего релиза не нужно. Сведений об эксплуатации в реальных атаках в уведомлении нет. Обходных мер, кроме установки обновления, Citrix не предлагает.
Часть идентификаторов в перечне появилась не вчера. Записи о нескольких ошибках прошивки EDK2 опубликованы в 2024 и 2025 годах, а для XenServer они стали актуальны вместе с этим бюллетенем. EDK2 - открытая реализация UEFI, то есть среда, которая готовит машину к запуску операционной системы. Ошибки в такой среде наследуются всем, что на ней загружается, включая гостевые системы.
Блоки различаются точкой входа для атакующего. Первый не требует учётных данных: достаточно доступа к сети управления, через которую администраторы управляют хостом. Второй работает изнутри: привилегированный пользователь гостевой системы преодолевает границу виртуальной машины. Третий связан с сетью загрузки: ошибки работы с буфером в прошивке при загрузке по сети дают произвольный код ещё до старта операционной системы, а администратор гостя может обойти политику Secure Boot своей машины.
Проблему с сетью управления Citrix описывает под идентификатором CVE-2026-98432, и он же относится к Workload Balancing с Conversion Manager. Случай с сетевой загрузкой идёт как CVE-2026-97631: запись TianoCore оценивает его в 9.5 из 10, атака идёт по сети, привилегии и участие пользователя не требуются. В перечень входит и проблема библиотеки OpenSSL. Подписанное сообщение PKCS#7 или S/MIME особого вида вызывает обращение к уже освобождённой памяти, что ведёт к падению процесса, повреждению памяти и в отдельных случаях к удалённому запуску кода.
Обновления для XenServer 8.4 и 9 доступны в каналах Early Access и Normal. Отдельного номера версии для самой платформы Citrix не называет: предлагается ставить последнюю сборку выбранного канала по инструкции из документации. Для вспомогательных приложений версии указаны прямо - Workload Balancing 2026.1.1 или новее и Conversion Manager 2026.2.0. Ссылки на сборки приведены на странице загрузок xenserver.com, инструкции по обновлению - в документации XenServer 8 и XenServer 9. Дополнительно Citrix советует подписаться на оповещения о новых и изменённых бюллетенях безопасности.
Риск для конкретной установки зависит от того, насколько открыта сеть управления. Именно оттуда идёт атака без учётных данных, и обновление до последней сборки канала закрывает этот путь. Гостевые системы получают защиту от выхода на хост только после установки обновления на сам хост, а сетевые загрузки - после обновления прошивки в составе платформы.
Ссылки
