Выявлены серьезные уязвимости в Citrix XenServer: шесть CVE-идентификаторов и угроза компрометации хоста

Корпорация Citrix выпустила срочное обновление безопасности для платформы виртуализации XenServer. В бюллетене CTX696527 от 28 апреля 2026 года сообщается о шести уязвимостях, которые затрагивают версию XenServer 8.4, еще не получившую последний исправляющий патч. В результате этих проблем злоумышленник может получить повышение привилегий, вызвать отказ в обслуживании на удаленной системе и обойти политики безопасности.

Детали уязвимостей

XenServer представляет собой гипервизор - это программное обеспечение, которое позволяет запускать на одном физическом сервере множество изолированных виртуальных машин. Такие платформы широко используются в корпоративных дата-центрах и облачной инфраструктуре, поэтому обнаруженные бреши представляют серьезную угрозу для бизнеса.

Самую высокую опасность несет уязвимость CVE-2026-23558. В определенных сценариях зловредный пользователь, обладающий привилегиями внутри гостевой виртуальной системы, может скомпрометировать хост целиком. Иными словами, атакующий получает возможность перейти из изолированной "песочницы" виртуальной машины на физический сервер, где запущены все остальные гости. Такая эскалация угроз практически полностью лишает администраторов контроля над инфраструктурой.

Другая проблема, зафиксированная под идентификатором CVE-2026-23556, позволяет зловредному пользователю в гостевой системе вызвать сбой хоста или полностью заблокировать его работу. Это приводит к отказу в обслуживании: виртуальные машины перестают отвечать на запросы, а бизнес-процессы, зависимые от этих систем, останавливаются.

Особого внимания заслуживает группа из трех уязвимостей - CVE-2026-23559, CVE-2026-23560 и CVE-2026-23561. Все они позволяют администратору, уже вошедшему в систему, повысить свои полномочия выше тех, что определены его ролью в RBAC (управлении доступом на основе ролей). На практике это означает, что даже сотрудник с ограниченными правами может получить доступ к критическим функциям гипервизора, что чревато несанкционированными изменениями конфигурации и утечкой данных.

Кроме того, в обновление включен патч для уязвимости CVE-2025-54505, которая затрагивает определенные процессоры AMD семейств EPYC 7001 и EPYC Embedded 3000. Данная проблема связана с побочным каналом утечки данных - техникой спекулятивного выполнения команд. Вредоносный код, запущенный в виртуальной машине, может логически вывести операнды операции деления чисел с плавающей запятой, которая выполняется в соседней гостевой системе. Хотя эта уязвимость относится к аппаратному обеспечению AMD, а не к самому XenServer, производитель включил исправление в свой бюллетень для удобства клиентов. Стоит отметить, что рейтинг CVSS 4.0 для данной проблемы составляет всего 2.0 балла из десяти - это низкий уровень серьезности, поскольку атака требует локального доступа и специфических условий.

Все перечисленные угрозы затрагивают только версию XenServer 8.4. Разработчики подчеркивают, что XenServer 9 на момент публикации бюллетеня находится в стадии публичной предварительной версии. Выпуски на этой стадии не предназначены для эксплуатации в промышленных средах и поэтому не покрываются бюллетенями безопасности, пока не выйдут из предварительного состояния.

Для специалистов по информационной безопасности ситуация уже ясна: необходимо в кратчайшие сроки установить исправляющий патч, который компания Citrix опубликовала в своем официальном бюллетене. Промедление грозит не только потерей контроля над виртуальной инфраструктурой, но и возможной утечкой критичных данных. Особенно уязвимы организации, использующие XenServer в мультитенантных средах, где на одном физическом сервере работают гостевые системы от разных заказчиков.

В целом это событие в очередной раз напоминает администраторам: даже зрелые платформы виртуализации не застрахованы от ошибок. Регулярное обновление гипервизоров должно быть частью базовой стратегии защиты любого предприятия, независимо от его размеров.

Детали уязвимостей

Ссылки