Citrix、ホスト乗っ取りにつながる恐れのあるXenServerの脆弱性を修正

Citrixは、XenServer 8.4およびXenServer 9向けのセキュリティアップデートを公開しました。今回の更新では複数の脆弱性が修正されており、そのうち3件は、特権を持つ悪意あるゲストVMのユーザーが、基盤となるホストを侵害したり、クラッシュさせたりできる恐れがあります。Cloud Software Groupは、このセキュリティ情報の深刻度を「High（高）」と評価しています。

CyberSecurity Tools

Citrix XenServerの脆弱性

Citrixが公開した2026年10月13日付のアドバイザリ（CTX697170）によると、今回のアップデートは4件のCVEを対象としています。

XenServerはハイパーバイザーであり、ホスト上では共有ハードウェアの上で多数のゲストVMが稼働します。ゲストからホストに影響を及ぼせる脆弱性は、仮想化環境が前提とする分離の境界を破ることになります。

4件のうち3件がこの種の問題です。いずれの場合も、ゲストVM内で管理者権限を持つ悪意あるユーザーが、ホストを侵害したりクラッシュさせたりできる可能性があります。

ホストが侵害されれば、同じサーバー上にある他のテナントのワークロードが危険にさらされる恐れがあります。ホストがクラッシュすれば、そのサーバー上のすべてのVMがオフラインになりかねません。ゲスト管理者を完全には信頼できないマルチテナント環境、ホスティング事業者、共用のラボ環境では、特にリスクが高くなります。

4件目のCVE-2026-79611は影響範囲がより限定的です。非特権のゲストユーザーがクラッシュさせられるのは自身のゲストVMのみで、ホストには影響しません。それでも可用性を損なう恐れがあるため、パッチ適用が望まれます。

影響を受けるのはXenServer 8.4とXenServer 9の両方です。例外はCVE-2026-102700で、こちらはXenServer 8.4のみが対象です。セキュリティ情報には、技術的な根本原因、CVSSスコア、概念実証（PoC）の詳細、実際に悪用された報告のいずれも記載されていません。

Citrixはまた、これらの問題が個々のシステムに「影響する場合も、しない場合もある」としており、管理者は自社の環境を確認する必要があります。

Citrixは、XenServer 8.4とXenServer 9の双方について、Early Accessチャネルと通常（Normal）のアップデートチャネルに修正を提供しています。セキュリティ情報には回避策が記載されていないため、パッチの適用が推奨される対処法です。

管理者は、XenServer 8のアップデートガイドまたはXenServer 9のアップデートガイドに従い、利用中のチャネルの最新バージョンへ更新してください。あわせて、信頼できないゲストや第三者のゲストのワークロードを稼働させているホストを優先すること、ゲストVM内で管理者権限を持つ者を監査すること、Citrixのセキュリティアラートを購読して情報更新を把握することが求められます。支援が必要な場合は、Citrixテクニカルサポートに問い合わせてください。

ハイパーバイザーの脆弱性は、1つの欠陥が多数のワークロードに影響しうるため、攻撃者の関心を集めやすい存在です。今回のCVEについて、悪用の報告はありません。

それでも、仮想化基盤の管理者は速やかにパッチを適用するとともに、Citrixや独立系の研究者から追加の技術的な詳細が公開されないか注視する必要があります。