Citrixは、XenServer 8.4および9向けのセキュリティアップデートを公開し、重大な脆弱性に対処しました。この脆弱性を悪用されると、管理ネットワーク上の認証不要の攻撃者に、仮想化ホストを侵害されるおそれがあります。
Cybersecurity news
Cloud Software Groupは2026年11月3日、この問題を「Critical（重大）」に分類するセキュリティ情報（CTX697256）を公開しました。同情報は9件のCVEを対象としています。
Citrix XenServerの脆弱性
特定された問題のうち最も深刻なのが、CVE-2026-98432です。Citrixによると、この脆弱性により、管理ネットワーク上の認証不要の攻撃者がホストを侵害できる可能性があります。
さらに、同じ攻撃者が、稼働中のWorkload Balancing（WLB）やConversion Managerのアプライアンスも侵害できるおそれがあります。セキュリティ情報には、この脆弱性のCVSSスコアや技術的な根本原因は記載されていません。
注目すべきは、CVE-2026-98432がLinuxカーネルのIPv4 TCPにおけるuse-after-free脆弱性と同じ識別子であることです。この脆弱性のCVSSスコアは9.8で、リモートから悪用されてroot権限を奪われる可能性があるとの報告もあります。
ただし、Citrixは両者が関連しているかどうかを明らかにしていません。管理者は、関連があると決めつけないようにしてください。また、セキュリティ情報には、実際の悪用の試みについての言及もありません。
2件目の脆弱性CVE-2026-102703は、ゲストVM内の特権ユーザーがホストを侵害できる可能性があります。仮想化が前提とする分離が破られることになります。ゲストの管理者を完全には信頼できないマルチテナント環境やホスティング環境では、特にリスクが高まります。
3つ目のグループは、ネットワークブートとセキュアブートに影響する6件のCVEです。CVE-2026-97631、CVE-2026-45447、CVE-2024-38797、CVE-2024-38796、CVE-2022-36764、CVE-2022-36763が該当します。これらを悪用されると、同一ネットワーク上の認証不要の攻撃者が、PXEブート中のVMを初期ブート段階で侵害できる可能性があります。ゲストVMの管理者が、ゲストのセキュアブートポリシーを回避できるおそれもあります。
これらの問題はいずれも、XenServer 8.4とXenServer 9の両方に影響します。CVE-2026-98432は、2026.1.1より前のWorkload Balancingと、2026.2.0より前のConversion Managerにも影響します。HKCERTは、このセキュリティ情報のリスクを「Medium（中）」と評価し、影響としてサービス拒否（DoS）とセキュリティ制限の回避を挙げています。Citrixの「Critical」という評価とは異なります。
Cybersecurity news
Citrixは、両バージョンのEarly Accessチャネルと通常（Normal）のアップデートチャネルに修正を配信しました。利用中のチャネルで最新バージョンに更新することを推奨しています。あわせて、Workload Balancing 2026.1.1以降、Conversion Manager 2026.2.0への更新も推奨しています。アプライアンスのアップデートは、XenServerのダウンロードページから入手できます。
管理者は、次の対応を取るべきです。
- 管理プレーンのホストから優先的にパッチを適用する
- 管理ネットワークへのアクセスを、信頼できる管理用システムに限定する
- ゲストVM内の管理者権限の保有者を監査する
- PXEブートのセグメントとセキュアブートの設定を見直す
Citrixは、別の重大なセキュリティ情報CTX697300も公開しています。これはCVE-2026-111497を扱ったもので、Google Brotliの戻り値未チェックの脆弱性が、Unicon eLux Scoutに影響します。
SOCにアラートの文脈を提供し、インシデントを迅速に止めましょう。1万6,000のSOCの脅威インテリジェンスを統合。
翻訳元: https://gbhackers.com/critical-citrix-xenserver-flaw/
