Xen Orchestra : une faille critique déjà exploitée ouvre la console sans identifiants

Vates, l’éditeur français de Xen Orchestra, a publié le 10 novembre 2026 un avis de sécurité classé critique, référencé VSA-2026-062. Cette faille de contournement d’authentification permet d’entrer sans le moindre identifiant dans la console d’administration des serveurs de virtualisation XCP-ng. Selon l’éditeur, un attaquant l’exploite déjà. Entreprises, collectivités et passionnés qui gèrent leurs machines virtuelles avec cet outil doivent mettre à jour sans attendre.

Xen Orchestra est une interface web, publiée sous licence libre AGPL3, qui sert à gérer et à sauvegarder des infrastructures XCP-ng et XenServer. XCP-ng est un hyperviseur, c’est-à-dire un logiciel qui fait tourner plusieurs machines virtuelles sur un même serveur physique. Dérivé de XenServer, il se présente comme une plateforme ouverte. Il met en avant ses outils de migration depuis VMware, un mouvement que nous avions déjà évoqué avec OpenVDDK.

Un cookie piégé suffit

Le défaut se loge dans le chemin d’authentification de l’API REST, l’interface de programmation qu’utilisent les scripts et les outils tiers. Un cookie d’authentification qui contient un objet vide n’y est pas rejeté. La fonction de recherche le traite alors comme une requête sans filtre. Elle renvoie le premier jeton enregistré, c’est-à-dire la clé de session d’un utilisateur. Si ce jeton n’a pas expiré, l’intrus est reconnu comme son propriétaire.

Les conséquences sont lourdes : l’attaquant agit avec les privilèges d’administrateur. Selon l’avis, une console compromise ouvre la voie à l’exécution de code arbitraire sur les pools gérés, ces groupes de serveurs administrés ensemble. Au bout de la chaîne, le pirate peut prendre le contrôle complet d’un hôte XCP-ng avec les droits root, ceux du superutilisateur. En cas d’exploitation réussie, aucun journal ne garde la trace de l’accès non authentifié.

Les chercheurs Filip Magic et Christoffer Olsen, de TDC NET Security, ont découvert la faille. Dans son avis, Vates publie l’adresse IP et le nom de domaine depuis lesquels opérait l’attaquant. La société de sécurité Ostorlab relève qu’au 11 novembre 2026, aucun identifiant CVE, la référence internationale des vulnérabilités, n’avait encore été attribué. La faille ne figurait pas davantage au catalogue des vulnérabilités exploitées de l’agence américaine CISA.

N’exposez pas Xen Orchestra à Internet.

Des correctifs aux numéros discordants

Les correctifs portent sur le composant serveur, xo-server : version 5.211.2 pour le canal stable, 5.213.1 pour le plus récent, baptisé « latest ». D’après l’avis, toutes les versions de Xen Orchestra antérieures à 6.9.2 (stable) et 6.10.1 (latest) sont touchées. Le correctif publié sur GitHub rejette désormais les identifiants de jeton vides ou qui ne sont pas des chaînes de caractères. Les installations faites à partir du code source doivent passer à la dernière version de la branche principale, « master ».

Un point prête à confusion. Le site BleepingComputer, qui a rapporté l’affaire le 10 novembre 2026, écrit que Vates a publié Xen Orchestra 6.9.1 et 6.10.0. L’avis de l’éditeur, comme Ostorlab, désigne en revanche les versions 6.9.2 et 6.10.1 comme celles qui intègrent la correction. Les numéros de xo-server, eux, concordent dans toutes nos sources. À notre avis, c’est donc la version de xo-server qu’il faut contrôler : au moins 5.211.2 sur le canal stable et 5.213.1 sur « latest ».

Isoler la console, chercher les traces

Vates recommande de placer la console sur un réseau d’administration dédié et de bloquer les adresses de l’attaquant. Filtrer le cookie piégé sur un pare-feu applicatif, qui inspecte les requêtes web, n’est qu’un pis-aller : l’éditeur prévient que ces règles peuvent être contournées avec d’autres encodages. En cas de compromission, tous les mots de passe et secrets doivent être changés. Une réinstallation complète est même conseillée, car un nettoyage seul ne garantit pas la suppression de toutes les portes dérobées.

Pour une PME, une association ou un laboratoire personnel qui fait tourner XCP-ng, le premier geste est simple : vérifier la version de xo-server, puis appliquer la mise à jour. Si l’interface était joignable depuis Internet, mieux vaut la considérer comme suspecte et chercher les indicateurs publiés par Vates, comme une machine virtuelle nommée pivot2. Leur absence ne suffit pas à exclure une compromission. Nous retenons une règle valable pour tout outil d’administration, libre ou non : une console qui commande des serveurs se consulte à travers un réseau privé virtuel (VPN), jamais en accès direct.