تم اكتشاف ثغرة حرجة لتجاوز المصادقة في Xen Orchestra، تؤثر على الإصدارات قبل 6.9.2 و6.10.1. تسمح هذه الثغرة للمهاجمين عن بُعد بتجاوز المصادقة والحصول على صلاحيات المدير.

يتم استغلال الثغرة عن طريق إرسال ملف تعريف ارتباط مصمم خصيصاً يتم تحليله إلى كائن JSON فارغ. يتيح ذلك للمهاجمين استرداد رموز المصادقة الحالية، مما قد يؤدي إلى تنفيذ تعليمات برمجية عشوائية على مجموعات مُدارة والسيطرة الكاملة على عقدة XCP-ng كجذر.

يتم استغلال الثغرة فعلياً من قبل جهة تهديد تستخدم عنوان IP 91.211.251.112 وعنوان تور onion. تشمل مؤشرات الاختراق طلبات HTTP مع ملف تعريف ارتباط الكائن الفارغ وملفات غير عادية مثل /etc/cron.d/zz-ustar.

استجابت Vates بإصدار نسخ محدثة من Xen Orchestra: 6.9.1 (مستقر) و6.10.0 (الأحدث). يتم تتبع الثغرة تحت VSA-2026-062، على الرغم من عدم تعيين معرف CVE أو درجة CVSS بعد.

تم اكتشاف الثغرة من قبل Filip Magic وChristoffer Olsen من TDC NET Security. وقد أكدت Vates الاستغلال الفعلي لهذه الثغرة الأمنية.