Une vulnérabilité critique au sein de Xen Orchestra, composant de Xen Orchestra Appliance, est activement exploitée sur le terrain, selon l’alerte de la société française Vates VMS (VSA-2026-062). Le problème réside dans le traitement des cookies REST : la chaîne authenticationToken=j:%7B%7D est transformée en un objet vide {}. Ce comportement fait que le fournisseur de jetons de XO traite cet objet comme une recherche non filtrée, retournant le premier jeton disponible. L’attaquant peut ainsi obtenir des identifiants de connexion réutilisables pour accéder aux fonctions d’administration.

Ce contournement d’authentification n’est pas anodin. Une fois l’accès obtenu, un adversaire peut exécuter des actions avec des privilèges d’administrateur. Le compromis de Xen Orchestra peut mener à l’exécution de code arbitraire sur les pools gérés, aboutissant à une prise de contrôle complète du nœud XCP-ng en tant que root.

Les indices d’une attaque en cours

Les chercheurs de Vates VMS ont documenté une activité malveillante en cours, pointant du doigt des infrastructures spécifiques. On observe l’utilisation de l’adresse IP 91.211.251.112:8001 et d’un domaine Tor, ustar3rqxgnskzgnwkgpofgtvxevm6cx3lxdbwt4mndtveqyaohid.onion:3333. Ces indicateurs de compromission (IoC) sont utiles pour comprendre la campagne observée, bien que Vates VMS rappelle que leur absence seule ne prouve pas l’absence de compromission.

Pour aider à la détection, Vates VMS fournit des pistes précises. Au niveau de Xen Orchestra, il faut surveiller les requêtes HTTP contenant les patterns authenticationToken=j:%7B%7D ou authenticationToken=j:{}, car en cas d’exploitation réussie, aucun enregistrement ne sera laissé pour une connexion non authentifiée. Sur les hôtes XCP-ng, les administrateurs peuvent effectuer des recherches spécifiques sur les fichiers de logs ou les paramètres des machines virtuelles, notamment celles utilisant le paramètre hvm_serial: file.

Les mesures d’atténuation urgentes

Face à cette menace active, plusieurs niveaux de défense sont suggérés. La recommandation la plus forte est la mise à jour immédiate. Les versions corrigées incluent Xen Orchestra 6.9.2 et 6.10.1, ainsi que les packages xo-server 5.213.1 et 5.211.2. Si le patching n’est pas instantané, des barrières défensives doivent être érigées. L’une des premières étapes est de ne jamais exposer Xen Orchestra directement sur l’Internet ; il doit être relégué à un réseau de gestion dédié.

Il est également conseillé de bloquer les adresses IP et les domaines connus de l’infrastructure malveillante. Il faut implémenter une règle dans un pare-feu applicatif (WAF) ou un proxy inverse pour rejeter les requêtes contenant les jetons vides mentionnés. Si l’on suspecte un système compromis, les experts insistent sur la nécessité de rotation totale de tous les secrets : mots de passe, clés d’accès aux dépôts NFS ou S3, et secrets d’utilisateurs.

Les risques au-delà du correctif technique

Le danger ne s’arrête pas au bug de parsing. L’exploitation de cette faille pourrait laisser derrière elle des portes dérobées persistantes, et les sources indiquent que l’exfiltration de configurations et la récolte d’identifiants sont des risques réels. Pour cette raison, Vates VMS conseille, en cas de compromission confirmée, une réinstallation complète de la plateforme, car un nettoyage chirurgical ne garantit pas l’éradication de toutes les traces laissées par l’attaquant.

Cette alerte est focalisée sur une campagne d’attaque spécifique. Les méthodes utilisées par les acteurs malveillants évoluent vite. Le fait que les IoC actuels ne couvrent que cette campagne signifie qu’une menace utilisant des techniques différentes pourrait échapper à la détection basée uniquement sur ces signatures. Il faudra surveiller si d’autres acteurs tenteront d’exploiter cette faiblesse une fois les correctifs largement déployés, sachant que la nature des systèmes de virtualisation rend les conséquences potentiellement catastrophiques pour les infrastructures critiques.

Sources

• VSA-2026-062: Empty-object login token | Vates VMS Documentation, docs.vates.tech
• Hackers Exploit Critical Xen Orchestra Auth Bypass Flaw to Gain Admin Access, The Hacker News, 10 novembre 2026
• Critical Xen Orchestra auth bypass flaw exploited to hijack VM servers, BleepingComputer, 10 novembre 2026