Citrixは、UniconOSとXenServerに存在する7件の脆弱性を公表しました。これらを悪用されると、ローカルでの権限昇格、永続的なコマンド実行、任意のファイルへのアクセス、仮想化ホストの侵害につながる可能性があります。
2026年10月13日に公開された2件のセキュリティ情報では、エンドポイント向けOSと仮想化基盤のそれぞれに影響する、異なる攻撃シナリオが説明されています。
対象となるアドバイザリはCTX697187とCTX697170で、総合的な深刻度はいずれも「High（高）」と評価されています。悪用に必要な条件は脆弱性ごとに異なります。認証済みのローカルアクセスが必要なもの、ゲスト仮想マシン内の特権が必要なもの、攻撃者が用意した無線アクセスポイントが絡むものがあります。
Citrix UniconOS（旧eLux）には3件の脆弱性があり、2607.2より前のCurrent Releaseと、2603 LTSR CU2より前のLong Term Service Releaseが影響を受けます。
最も深刻なCVE-2026-53562のCVSS v4.0スコアは8.5で、ローカルでの権限昇格を許します。攻撃者には、認証済みで低権限のローカルアクセスが必要です。Citrixはこの弱点をCWE-59（ファイルアクセス前の不適切なリンク解決、一般に「リンクフォロー」と呼ばれる問題）に分類しています。
公表されたベクターによると、攻撃の複雑さは低く、ユーザーの操作は不要です。脆弱なシステムの機密性、完全性、可用性のすべてに高い影響が及びます。
CVE-2026-53563は永続的なコマンド実行を可能にし、CVSS v4.0スコアは6.8です。こちらも認証済みで低権限のローカルアクセスが必要となります。根本的な弱点はCWE-732で、重要なリソースに対する不適切なパーミッション割り当てが原因です。
CVE-2026-53564は任意のファイルの読み取りと書き込みを許し、CVSS v4.0スコアは5.1です。他のUniconOSの脆弱性と異なり、標的が攻撃者の用意した無線アクセスポイントの通信圏内にあり、ユーザーがキャプティブポータルへの接続を開始する必要があります。
Citrixはこれを、CWE-668（リソースの誤った領域への露出）に分類しています。 XenServer のセキュリティ情報では、XenServer 8.4とXenServer 9に影響する4件の脆弱性が挙げられており、1件のみ対象バージョンが限定されています。
CVE-2026-79610、CVE-2026-102700、CVE-2026-102701は、ゲスト仮想マシン内の悪意ある特権ユーザーが、基盤となるホストを侵害したりクラッシュさせたりできる可能性があります。CVE-2026-102700はXenServer 8.4のみが対象で、残る2件は両リリースに影響します。
これとは別に、CVE-2026-79611では、権限のないゲストユーザーが同じ仮想マシンをクラッシュさせられる可能性があります。影響範囲はより限定的であり、ホスト侵害につながる他の3件とは区別する必要があります。
Citrixは、UniconOSについて、Current Releaseでは2607.2以降、LTSRでは2603 LTSR CU2以降へのパッチ適用を強く推奨しています。
XenServerの修正は、影響を受ける両リリースとも、Early AccessとNormalの両方の更新チャネルで提供されています。利用者は、選択しているチャネルの最新の更新プログラムを適用してください。
XenServerのドキュメントでは、XenCenterまたはxeコマンドラインインターフェースを使った更新の適用方法が説明されています。隔離された環境向けには、オフラインバンドルも用意されています。
今回のセキュリティ情報には、実際に悪用が確認されたかどうかや、エクスプロイトコードの有無は記載されていません。また、UniconOSの脆弱性とXenServerの脆弱性を連鎖させる攻撃についても言及されていません。
1万6,000以上のSOCチームがANY.RUNを活用し、脅威調査を効率化して手作業の負担を軽減しています。チームでの導入を検討する
翻訳元: https://cyberpress.org/multiple-citrix-uniconos-and-xenserver-flaws/
