Explotan falla crítica de evasión de autenticación en Xen Orchestra para tomar hosts XCP-ng

Vates, el desarrollador de XCP-ng y Xen Orchestra, confirmó que una falla crítica de evasión de autenticación en Xen Orchestra (aviso VSA-2026-062) se está explotando activamente. Un atacante con acceso de red a la interfaz de gestión puede obtener privilegios de administrador y, desde ahí, tomar el control de los hosts XCP-ng. La corrección ya está disponible y la prioridad es aplicarla y cerrar el acceso a la consola.

El problema está en la forma en que Xen Orchestra procesa las cookies y los tokens de autenticación enviados en solicitudes a su API REST. Según el aviso de Vates y lo reportado por BleepingComputer, un atacante remoto con alcance de red a la interfaz de gestión puede iniciar sesión como el dueño de un token existente sin conocer credenciales. Con ello obtiene privilegios de Admin.