发生了什么
2026 年 11 月 10 日，虚拟化管理平台厂商 Vates 发布安全通告 VSA-2026-062：Xen Orchestra 存在一个严重身份验证绕过漏洞，厂商明确表示该漏洞正在被在野利用。该漏洞目前尚无 CVE 编号，CVSS 评分也尚未公布。
概念层面：漏洞出在 Xen Orchestra 处理 REST 接口登录 Cookie 的环节——一个经过特殊构造的认证 Cookie 会被解析成空对象，进而触发一次无过滤条件的令牌查找，返回一条已有的有效登录令牌，攻击者无需任何账号密码即可冒充该令牌的持有者登录。此后攻击者可调用已认证接口获取可复用的登录令牌 ID，获得持久访问能力。
漏洞由 TDC NET Security 的 Filip Magic 与 Christoffer Olsen 发现并报告。截至本指南发布，CISA 尚未将其列入 KEV 目录。
影响有多大
Vates 将该漏洞定级为 Critical（严重）。未认证的远程攻击者只要能访问 Xen Orchestra 的管理界面，即可绕过身份验证，以管理员权限操作平台。Xen Orchestra 是 XCP-ng 虚拟化环境的集中管理面，一旦被攻破，攻击者可对所管理的资源池执行任意代码，进而完全接管 XCP-ng 宿主机（root 权限）。
厂商已确认的攻击者基础设施包括 IP 91.211.251.112:8001（该 IP 在 VirusTotal 上曾被标记为 RedLine Stealer 的 C2 服务器）与一个 Tor 洋葱服务（ustar3rqxgnskzgnwkgpofgtvxevm6cx3lxdbwt4mndtveqyaohid.onion:3333）。厂商同时提醒：成功利用不会在 Xen Orchestra 日志中留下未授权访问记录，须通过 HTTP 流量监测发现。
受影响版本与修复版本
| 产品 | 受影响版本 | 修复版本 |
|---|---|---|
| Xen Orchestra（stable 通道） | 6.9.2 之前 | 6.9.2（xo-server 5.211.2） |
| Xen Orchestra（latest 通道） | 6.10.1 之前 | 6.10.1（xo-server 5.213.1） |
| Xen Orchestra Appliance（XOA） | 受影响 | 随上述版本修复 |
从源码安装 Xen Orchestra 的用户，厂商建议更新到最新 master 分支。
自查步骤
1. 先确认版本与暴露面
确认所用 Xen Orchestra / XOA 的版本是否在受影响范围；确认管理界面是否暴露在互联网上——厂商明确建议不要把 Xen Orchestra 暴露到互联网，应放在专用管理网络中。
2. 检查是否已被利用
厂商指出，成功的绕过不会在日志中留下记录，须用以下方法检查：
- HTTP 流量监测（tcpdump 或 Wireshark）：查找请求中是否出现
authenticationToken=j:%7B%7D或authenticationToken=j:{}模式。 - 查找可疑虚拟机：在运行中的虚拟机里搜索名为
pivot2的虚拟机。 - XCP-ng 宿主机检查：执行
xe vm-list params=name-label,platform | grep -B1 'hvm_serial: file'，查找带hvm_serial: file参数的虚拟机；执行zgrep -- '-serial file:' /var/log/xensource.log*；检查是否存在/etc/cron.d/zz-ustar2、/etc/cron.d/zz-ustar、/.ustar5、/.ustar6与/etc/ld.so.preload相关文件（ls -la /etc/ld.so.preload /.ustar* /etc/cron.d/zz-ustar*）。
注意：厂商提供的检测方法只覆盖目前已确认的这一起攻击活动；未发现上述指标并不能证明没有被入侵，其他攻击者使用不同手法同样可能利用该漏洞。
3. 升级到修复版本
尽快升级到对应通道的修复版本：stable 通道升级到 Xen Orchestra 6.9.2（xo-server 5.211.2），latest 通道升级到 6.10.1（xo-server 5.213.1）。升级后核实实际运行的包版本，而不只看升级任务是否完成。
4. 封禁攻击者基础设施
在防火墙出入方向同时封禁厂商公布的攻击 IP：91.211.251.112、193.148.56.72、37.221.208.216、45.66.35.11、64.65.0.120、64.65.62.160、89.47.51.90、92.60.37.247，并封禁通往上述 Tor 洋葱服务的流量。
5. 临时缓解（无法立即升级时）
可在 WAF 或反向代理上拦截空令牌模式（authenticationToken=j:{} 与 authenticationToken=j:%7B%7D），但厂商提醒正则规则可能被其他编码格式绕过，这只是临时措施，不能替代升级。
6. 若确认已被入侵
配置外泄与凭证窃取不能排除：轮换 Vates VMS 中使用的全部密码与密钥，包括代理、备份远端（NFS、S3、Azure、SMB）、root 账号与资源池密钥、用户账号、OTP 密钥、邮件服务器配置密码等。确认入侵后建议整机重装，仅清理不能保证清除攻击者留下的全部后门。
与用户四站的关系
Xen Orchestra / XCP-ng 是企业虚拟化管理平台，与用户本人的四站（智盟站、祺平站、个人博客、RUIDIAN 相关站点）无关；用户本人不用操作、不用回复。本指南面向使用 Xen Orchestra 管理 XCP-ng 环境的读者。
参考来源
- Vates 官方安全通告 VSA-2026-062（2026-11-10 发布）：docs.vates.tech/security-advisories/advisories/2026/vates-sa-2026-062/
- BleepingComputer 2026-11-10 报道：Critical Xen Orchestra auth bypass flaw exploited to hijack VM servers
- The Hacker News 2026-11-10 报道：Hackers Exploit Critical Xen Orchestra Auth Bypass Flaw to Gain Admin Access