Sommaire
Vates, l’éditeur français derrière Xen Orchestra, a publié ce mardi 10 novembre un avis de sécurité critique (VSA-2026-062) : une faille de contournement d’authentification dans Xen Orchestra, la console qui pilote les environnements virtualisés XCP-ng, est activement exploitée. Un simple cookie contenant un jeton de connexion vide suffit à se faire passer pour un administrateur, sans aucun mot de passe.
La conséquence est lourde : une fois authentifié en admin, l’attaquant peut exécuter du code arbitraire sur les pools gérés et prendre le contrôle complet d’un nœud XCP-ng en root. Vates a publié les correctifs dans Xen Orchestra 6.9.2 (canal stable) et 6.10.1 (canal latest), soit xo-server 5.211.2 et 5.213.1. L’éditeur recommande aussi de ne jamais exposer Xen Orchestra sur internet, de bloquer les adresses du pirate identifié (notamment 91.211.251.112) et de chercher une machine virtuelle suspecte nommée « pivot2 ». Aucun identifiant CVE n’a encore été attribué. Si votre hébergeur utilise XCP-ng, demandez-lui si la mise à jour est appliquée.
Lento dit : Un cookie vide qui ouvre la porte admin, et un pirate déjà en train de passer par là : si votre hébergeur tourne sous XCP-ng, c’est aujourd’hui qu’il faut vérifier, pas après le week-end. Et une console d’administration exposée sur internet, en 2026, c’est une invitation écrite en gros caractères.
