Citrixは、XenServerの8件の脆弱性と、Unicon eLux Scoutのコンポーネントに影響するGoogle Brotliの別の問題に対処するため、重要なセキュリティ勧告を公開しました。
XenServerの脆弱性を悪用されると、ホストの侵害、管理アプライアンスへの攻撃、ネットワークブートする仮想マシンの侵害、ゲストのブート保護の回避が起こる可能性があります。
2026年11月3日に公開されたセキュリティ情報CTX697256は、XenServer 8.4とXenServer 9が対象です。これとは別に、セキュリティ情報CTX697300は、オンプレミス版のScout管理およびゲートウェイ環境に存在するCVE-2026-111497を取り上げています。11月3日には、更新された修正手順も公開されました。
CVE-2026-98432を悪用されると、管理ネットワーク上の未認証の攻撃者が、XenServerホスト、稼働中のWorkload Balancingアプライアンス、Conversion Managerアプライアンス、あるいはこれらの複数を侵害できる可能性があります。
この問題は、2026.1.1より前のWorkload Balancingと、2026.2.0より前のConversion Managerにも影響します。攻撃には管理ネットワークへのアクセスが必要なため、インターネットから無制限に悪用される脆弱性とは性質が異なります。
ホスト水準に及ぶ影響の大きさから、この脆弱性はハイパーバイザー攻撃をめぐる広範な脅威動向の一つに位置づけられます。ただし、Citrixは悪用の仕組みを明らかにしていません。
別の脆弱性CVE-2026-102703では、ゲスト仮想マシン内の特権ユーザーがホストを侵害できる可能性があります。管理ネットワーク上の未認証の攻撃者による脆弱性とは異なり、この攻撃にはゲスト内ですでに昇格した権限を持っていることが前提となります。
この違いは権限昇格を評価する際に重要です。公表された影響は、ゲスト環境と基盤となる仮想化ホストとの境界を越えるものだからです。
CitrixはXenServerの両リリースが影響を受けるとしていますが、提供されたセキュリティ情報には、悪用コードや技術的な根本原因の分析、実際に悪用されているかどうかの確認は記載されていません。
このほか6件の識別子が、ゲスト起動時の保護機能に対する攻撃に該当します。CVE-2026-97631、CVE-2026-45447、CVE-2024-38797、CVE-2024-38796、CVE-2022-36764、CVE-2022-36763です。
Citrixによると、これらの問題により、同一ネットワーク上の未認証の攻撃者が、PXEブートする仮想マシンを初回起動時に侵害できる可能性があります。また、ゲスト管理者がゲストのセキュアブートポリシーを回避できる可能性もあります。
これらの影響は、それぞれ前提条件が異なります。セキュリティ情報では、個々の識別子と各影響との対応関係は示されていません。そのため、ネットワークブートの侵害とUEFIセキュアブートポリシーの回避を区別して捉えることが重要です。
Scoutに関する別の勧告では、CVE-2026-111497をGoogle Brotliの戻り値未チェックの脆弱性に分類しています。影響を受けるのは、UniconOS Management (Scout) On-PremとScout Cloud Gateway On-Premです。
Scoutはエンドポイント基盤を管理する製品で、そのゲートウェイはリモートデバイスの接続を支え、証明書ベースのクライアント認証を使用しています。
提供された勧告では、この問題によるリモートコード実行、ホストの侵害、攻撃者に必要な前提条件、実際の悪用はいずれも確認されていません。したがって、XenServer固有の影響をScoutの脆弱性に当てはめるべきではありません。
Citrixは、環境に応じてScout Hotfix 2609.1、Scout 2508 CU2 LTSR、Scout Cloud Gateway 1 2605.1-3の適用を推奨しています。XenServerの修正は、Early AccessとNormalの各チャネルで入手できます。アプライアンスを利用している場合は、Workload Balancing 2026.1.1以降とConversion Manager 2026.2.0を導入してください。
1万6,000以上のSOCチームがANY.RUNを活用し、脅威調査を効率化して手作業を削減しています。チームで試す
翻訳元: https://cyberpress.org/critical-citrix-xenserver-vulnerabilities/
