FiveM
Minecraft
Rust
RedM
HytaleCe qui s'est passé
Le 10 novembre 2026, Vates a publié l'avis VSA-2026-062 sur Xen Orchestra (XO), l'interface web de gestion des hôtes XCP-ng. La sévérité est critique et l'avis indique qu'un acteur de la menace exploite déjà la faille. Les produits concernés sont Xen Orchestra et Xen Orchestra Appliance. Source primaire : l'avis Vates.
Si vous administrez un hyperviseur XCP-ng, c'est une priorité. Pour situer l'écosystème, voyez notre comparatif XCP-ng ou Proxmox VE.
Notions clés : hyperviseur, VM, pool et hôte
Un hyperviseur est le logiciel qui fait tourner plusieurs machines virtuelles (VM) sur un même serveur physique. XCP-ng est un hyperviseur basé sur Xen. Chaque serveur physique qui exécute l'hyperviseur est un hôte. Plusieurs hôtes regroupés forment un pool, administré depuis une console centrale. Ce type de pool sert souvent de base à un cloud privé.
Xen Orchestra est cette console : l'interface web qui sert à administrer le pool, ses hôtes et ses VM. Un compte administrateur sur XO donne donc un contrôle étendu sur tous les hôtes gérés, ce qui explique la gravité de cette faille.
Quelques termes utiles pour lire l'avis : une adresse IP identifie une machine sur le réseau. Un nom de domaine est traduit en adresse IP par le DNS. Un pare-feu (firewall) filtre le trafic selon les adresses et les ports. L'accès à un hôte se fait généralement en SSH.
Où héberger votre hyperviseur ?
| Critère | Hébergement mutualisé | VPS | Serveur dédié |
|---|---|---|---|
| Ressources (RAM, espace disque, bande passante) | partagées avec d'autres sites | allouées à votre machine virtuelle | réservées à votre usage, sur une machine physique entière |
| Accès root | non | oui | oui |
| Installer un hyperviseur comme XCP-ng | non | généralement non | oui |
Pour un hyperviseur XCP-ng, qui s'installe directement sur le matériel, un serveur dédié est le cas le plus courant. Un VPS Linux convient à l'outillage autour, comme les scripts ou la supervision. Que vous administriez votre infrastructure vous-même ou via une infogérance, la règle d'isolation décrite plus bas reste la même.
Comment fonctionne la faille
L'analyse des cookies REST transforme la valeur authenticationToken=j:%7B%7D en un objet vide {}. L'authentification REST le transmet au fournisseur de jetons de XO sans vérifier qu'il s'agit d'une chaîne. La collection de jetons interprète alors {} comme une recherche sans filtre et renvoie le premier jeton trouvé. S'il n'a pas expiré, la requête est authentifiée au nom de son propriétaire.
Résultat : un attaquant sans identifiants obtient les droits Admin. La route /rest/v0/users/me/authentication_tokens renvoie ensuite des jetons de connexion réutilisables. Depuis XO, il peut exécuter du code sur les pools gérés, puis prendre le contrôle d'un nœud XCP-ng en root.
Lexique : serveur virtuel, serveur dédié, hébergement
Quelques définitions pour lire cet avis et choisir où faire tourner votre infrastructure :
| Terme | Définition |
|---|---|
| Serveur virtuel | machine virtuelle (VM) qui tourne sur une machine physique partagée entre plusieurs machines virtuelles, découpée logiquement. |
| Serveur privé virtuel (VPS) | serveur virtuel loué, avec des ressources allouées (processeur, mémoire, espace de stockage) et un accès root. |
| Serveur dédié | machine physique entière, réservée à votre usage. |
| Hébergement mutualisé | plusieurs sites web partagent les ressources d'un même serveur, sans accès root. |
| Hébergement cloud | ressources virtuelles réparties sur plusieurs machines physiques. |
| Hébergeur | entreprise qui met à disposition les serveurs, le réseau et le datacenter où ils sont installés. |
| Haute disponibilité | architecture qui vise à garder un service accessible même si un de ses composants tombe en panne. |
| Sauvegarde (backup) | copie des données, stockée à part, pour restaurer un système après un incident. |
| Panel | interface web qui centralise la gestion d'un serveur ou d'un parc, comme Xen Orchestra pour un pool XCP-ng. |
| SSD | disque à mémoire flash, sans pièce mobile. Nos offres sont sur SSD. |
D'autres hyperviseurs existent, comme VMware ESXi ou Proxmox VE. Le principe reste le même : un hôte physique fait tourner plusieurs VM, et une console centrale les administre. Avant de configurer cette console, isolez son réseau de gestion, comme expliqué plus bas.
Versions corrigées
| Canal | Xen Orchestra | xo-server |
|---|---|---|
| stable | 6.9.2 | 5.211.2 |
| latest | 6.10.1 | 5.213.1 |
| Installation depuis les sources | dernière branche master | : |
Certains médias, dont BleepingComputer, citent les versions 6.9.1 et 6.10.0. Tenez-vous à l'avis de Vates : ce sont 6.9.2 et 6.10.1. Les versions antérieures sont vulnérables.
Mesures d'attente si vous ne pouvez pas mettre à jour tout de suite
Isoler Xen Orchestra
N'exposez pas XO sur Internet et placez-le sur un réseau de gestion dédié. Un accès par VPN ou par réseau privé est préférable à un port ouvert. Configurez ensuite votre pare-feu (firewall) pour n'autoriser que les machines qui ont besoin d'accéder à XO. Voyez aussi nos premiers réglages de sécurité d'un serveur dédié.
Bloquer les IP de l'avis
Vates recommande de bloquer le trafic entrant et sortant vers ces adresses IP (chaque adresse IP identifie une machine sur le réseau, et votre pare-feu filtre le trafic selon ces adresses) :
91.211.251.112193.148.56.7237.221.208.21645.66.35.1164.65.0.12064.65.62.16089.47.51.9092.60.37.247
L'avis demande aussi de bloquer le trafic Tor vers le domaine ustar3rqxgnskzgnwkgpofgtvxevm6cx3lxdbwt4mndtveqyaohid.onion.
Règle WAF ou reverse proxy
Bloquez les requêtes contenant l'un de ces motifs :
authenticationToken=j:{}
authenticationToken=j:%7B%7DCette règle peut être portée par un reverse proxy (Apache, Nginx ou équivalent) ou par un WAF. Ce filtrage reste contournable avec d'autres formats d'encodage. Il complète la mise à jour, il ne la remplace pas.
Chercher les traces de compromission
Point essentiel : une exploitation réussie ne laisse pas de trace dans les journaux d'authentification. Il faut analyser le trafic HTTP (tcpdump, Wireshark, journaux du reverse proxy) à la recherche des motifs ci-dessus, et vérifier si une VM nommée pivot2 tourne dans vos pools.
Sur chaque hôte XCP-ng
Connectez-vous en SSH à chaque hôte du pool, puis lancez les commandes ci-dessous.
Recherchez les VM dont le paramètre hvm_serial vaut file :
xe vm-list params=name-label,platform | grep -B1 'hvm_serial: file'Cherchez la trace de la VM pivot2 dans les journaux :
zgrep -- '-serial file:' /var/log/xensource.log*Cherchez les fichiers suspects :
ls -la /etc/ld.so.preload /.ustar* /etc/cron.d/zz-ustar*Cela couvre /etc/ld.so.preload, /.ustar5, /.ustar6 et /etc/cron.d/zz-ustar*. Un fichier /etc/ld.so.preload inattendu est particulièrement grave, car il permet d'injecter une bibliothèque dans chaque processus.
Attention : ces indicateurs ne décrivent que la campagne observée. Ne les prenez pas pour un certificat de bonne santé. Pour aller plus loin dans la détection, un outil comme Wazuh ou auditd aide à surveiller les modifications de fichiers sensibles.
Si la compromission est confirmée
- Isolez XO et les hôtes touchés du réseau.
- Changez tous les secrets Vates VMS : proxies, dépôts de sauvegarde (NFS, S3, Azure, SMB), compte root, secret de pool, comptes utilisateurs, secrets OTP, mot de passe du serveur mail.
- Réinstallez complètement. Un nettoyage seul ne garantit pas l'élimination des portes dérobées, selon Vates.
Vérifiez aussi que vos sauvegardes (backups) sont saines et stockées hors de portée de XO. La redondance, comme la haute disponibilité, ne protège pas d'une compromission de la console : XO agit sur tous les hôtes du pool, donc un hôte de secours peut être touché comme les autres. Notre guide sur les sauvegardes d'un serveur dédié détaille la démarche.
À retenir
- Mettez à jour vers XO 6.9.2 ou 6.10.1 (xo-server 5.211.2 ou 5.213.1), ou la dernière master.
- Sortez XO d'Internet, bloquez les IP et ajoutez la règle WAF en attendant.
- Cherchez
pivot2,hvm_serial: file,/etc/cron.d/zz-ustar*,/.ustar5,/.ustar6,/etc/ld.so.preload. - En cas de doute fondé, faites la rotation des secrets et réinstallez.
Pour héberger votre propre infrastructure de virtualisation avec accès root complet, voyez nos serveurs dédiés ou un VPS Linux pour la partie outillage. Retrouvez d'autres alertes dans nos actualités, par exemple les failles Xen XSA-526 à 528.