---
title: "Falha no Xen Orchestra permite tomar hosts XCP-ng como root"
author: "Gustavo Ramos O. Klein"
date: "2026-11-12 14:53:03.001-03"
category: "Segurança & Privacidade"
url: "https://desbugados.com.br/post/2026/11/12/falha-no-xen-orchestra-permite-tomar-hosts-xcp-ng-como-root"
---

## Resumo
- A falha VSA-2026-062 no Xen Orchestra está sendo explorada ativamente.
- Um cookie de autenticação com um objeto JSON vazio pode contornar o login.
- A exploração pode conceder privilégios de administrador e levar ao controle de hosts XCP-ng como root.
- O problema também afeta o Xen Orchestra Appliance (XOA).
- As versões informadas para XOA são 6.10.1 no canal latest e 6.9.2 no stable.
- A equipe recomenda atualizar, restringir a exposição da interface de gerenciamento e revogar sessões.
- A investigação deve incluir monitoramento HTTP e busca por indicadores como a VM pivot2.

---

Uma falha crítica de contorno de autenticação no **Xen Orchestra**, identificada como VSA-2026-062, está sendo explorada ativamente e pode permitir que invasores com acesso à interface de gerenciamento assumam ambientes XCP-ng. O risco vai além de uma conta comprometida: a exploração pode dar acesso de administrador e, em seguida, controle sobre os hosts de virtualização. [O alerta sobre a exploração ativa](https://www.bleepingcomputer.com/news/security/critical-xen-orchestra-auth-bypass-flaw-exploited-to-hijack-vm-servers/) descreve como a falha abre essa porta.


## Um cookie vazio contorna a autenticação


Para entender a brecha, vale olhar para a credencial que circula entre o navegador e o servidor. O **Xen Orchestra** é uma plataforma de gerenciamento pela web para ambientes de virtualização XCP-ng; a falha também afeta o Xen Orchestra Appliance, conhecido como XOA. No processamento de uma solicitação, o sistema aceita um cookie de autenticação forjado com o conteúdo authenticationToken=j:%7B%7D, que representa um objeto JSON vazio. Em vez de rejeitar a informação incompleta, o sistema pode usá-la para localizar um token de login existente.


Esse comportamento transforma um campo vazio em uma espécie de passe de acesso. Segundo a análise técnica, o sistema pode selecionar o primeiro token de login ainda válido e autenticar o invasor como seu proprietário, sem exigir as credenciais dessa pessoa. Depois de entrar, o atacante pode consultar o endpoint REST /rest/v0/users/me/authentication_tokens para obter identificadores de tokens reutilizáveis. Na prática, uma falha no modo como a plataforma interpreta o cookie atravessa a fronteira entre uma solicitação sem login e uma sessão privilegiada.


O alcance potencial não fica restrito à interface. A exploração pode conceder privilégios de administrador e permitir execução arbitrária de código em pools gerenciados, além do controle do nó XCP-ng como root, a conta de maior privilégio no sistema. Por isso, uma interface de gerenciamento acessível a um invasor pode virar o caminho para assumir os servidores que ela administra. A brecha também exige atenção à investigação, não apenas à instalação de uma correção.


## Correção, acesso e investigação dos hosts


Para usuários do XOA, a equipe do projeto informa a disponibilização das versões **6.10.1**, no canal latest, e **6.9.2**, no canal stable. Quem compila o Xen Orchestra a partir do código-fonte deve atualizar para a versão master com a correção PR #10748 e reiniciar o xo-server, o componente de servidor da plataforma. [O comunicado do projeto](https://xcp-ng.org/forum/topic/12571/security-vsa-2026-062-critical-xen-orchestra-vulnerability-fixed-please-update) também recomenda não expor diretamente à Internet pública o plano de gerenciamento da virtualização.


A atualização deve vir acompanhada de uma checagem do ambiente. O alerta técnico informa que o Xen Orchestra não registra nativamente os acessos não autenticados bem-sucedidos, então a detecção depende de monitoramento HTTP e da busca por indicadores de comprometimento. Entre os sinais divulgados estão uma máquina virtual chamada pivot2 e arquivos suspeitos em diretórios de tarefas agendadas. A equipe também orienta revogar sessões ativas e trocar as senhas root dos hosts, além de outras credenciais e segredos ligados ao ambiente. Para quem administra XCP-ng, os próximos passos são confirmar a versão instalada, aplicar a correção e verificar se há sinais de acesso indevido.