- Están lanzando campañas de escaneo masivas para explotar los graves fallos de PHP
- Descubren un fallo de seguridad en Tailscale SSH: un dispositivo hackeado pone en riesgo a toda la red
El hipervisor Xen ha publicado un aviso de seguridad con fecha de 3 de noviembre tras detectar dos fallos que permiten a una máquina virtual invitada maliciosa leer y escribir la memoria de otras VM en el mismo host, incluida dom0. Los parches ya están disponibles para las versiones con soporte activo, aunque el Xen Project advierte que no existe ninguna mitigación alternativa conocida hasta la fecha.
Vamos a explicarte qué implican estos errores, identificados como CVE-2026-102703 y CVE-2026-102704 bajo el advisory XSA-523, y cómo afectan a plataformas como XCP-ng, Qubes OS o Debian. Si administras sistemas basados en Xen, necesitas saber qué versiones quedan expuestas, qué parche existe para cada entorno y qué reinicios exige la corrección.
Qué permiten los fallos de Xen
Las dos vulnerabilidades permiten que una máquina virtual invitada comprometida acceda a la memoria de otras máquinas virtuales del mismo host, incluyendo dom0, la VM con permisos completos que gestiona el resto. Anthropic descubrió los fallos utilizando su modelo Claude. Stephan Lipp, de Ada Logics, validó después el hallazgo, y el equipo CodeAnt AI Security Research Team lo reportó de forma independiente.
XCP-ng resume el riesgo sin rodeos en sus notas de actualización: «un único invitado comprometido puede romper su aislamiento y tomar el control de todo el host». El aviso oficial de Xen no menciona ataques activos que exploten estos fallos ni precisa qué nivel de acceso previo necesitaría un atacante dentro de la VM para llevarlos a cabo.
Qué versiones de Xen están afectadas
Todas las versiones de Xen desde la 4.6 en adelante son vulnerables, mientras que la 4.5 y anteriores quedan fuera. El aviso incluye parches para xen-unstable hasta la versión 4.19.x, y para las ramas que van de la 4.18.x a la 4.17.x. No hay parche, sin embargo, para Xen 4.6 a 4.16: el soporte de seguridad de la versión 4.16 finalizó el 2 de diciembre de 2024, y cualquier producto construido sobre esas ramas queda expuesto hasta que su fabricante incorpore las correcciones de XSA-523.
El origen técnico está en la operación grant copy, el mecanismo que usa Xen para copiar datos entre máquinas virtuales. Cada VM indica al hipervisor qué páginas de memoria pueden usar otras, y Xen comprueba esos permisos antes de autorizar la copia. Para ganar rendimiento en lotes de copias dentro de la misma página de memoria, el sistema reutiliza comprobaciones que ya ha hecho; en algunos casos dejó de volver a comprobar cuando era necesario, y ese error de lógica es lo que abre la puerta a que un invitado malicioso lea y escriba memoria que no le pertenece.
Qué actualización instalar según tu plataforma: XCP-ng, Qubes OS y Debian
Cada plataforma construida sobre Xen distribuye las correcciones de XSA-523 a su propio ritmo. En XCP-ng, el paquete xen-4.17.7-4.2.xcpng8.3 se publicó el 3 de noviembre para la versión 8.3, y tras instalarlo hay que reiniciar los hosts para que los cambios surtan efecto. Vates, la compañía que respalda XCP-ng, califica el impacto de esta vulnerabilidad como Crítico en sus notas de actualización, una valoración propia del fabricante que no figura con ese nivel en el aviso oficial de Xen.
En Qubes OS, la corrección llega para la versión 4.3, la única con soporte activo, e integra los paquetes Xen 4.19.6-3 en dom0, lo que obliga a reiniciar el dominio principal. Quien utilice la función Anti Evil Maid debe resellar su frase secreta, porque los nuevos binarios de Xen modifican los valores de PCR18 y PCR19. Qubes pidió a sus usuarios el 3 de noviembre seguir instalando actualizaciones con normalidad: los paquetes corregidos estaban entonces en el repositorio security-testing y pasarán al estable en las dos semanas siguientes, tras las pruebas de la comunidad.
En Debian, el rastreador de seguridad marcaba el paquete xen como vulnerable en las ramas bookworm, trixie y forky a fecha de 4 de noviembre, mientras que en la rama inestable, sid, ya figuraba como corregido.
Esta no es la primera vez que un error en la operación grant copy obliga a Xen a lanzar un parche de emergencia: el 28 de julio el proyecto ya reveló XSA-500, otro fallo del mismo mecanismo, con correcciones propias e independientes de este caso. Quien administre una infraestructura con Xen 4.6 o posterior debería comprobar si su fabricante ya ha publicado el parche de XSA-523 y reservar la ventana de mantenimiento necesaria para reiniciar hosts y dominios dom0.