Разработчики Xen раскрыли две уязвимости CVE-2026-102703 и CVE-2026-102704, которые позволяют гостевой системе читать и изменять память соседних виртуальных машин, включая управляющий домен Dom0. Под угрозой все версии гипервизора начиная с 4.6. Опасность ошибок достигает 8,4 балла по CVSS 4.0.
Причина кроется в механизме Grant Copy, который повторно использует результаты проверок доступа при копировании данных между областями памяти. Из-за ошибок в проверках гостевая система может получить доступ к чужой памяти и перезаписать её содержимое. Разработчики XCP-ng допускают полный захват физического сервера. Уязвимости обнаружили в том числе с помощью ИИ-модели Claude.
Для защиты виртуальной инфраструктуры разработчики выпустили исправления XSA-523, поскольку обходного решения без патчей нет. XCP-ng 8.3 уже получила обновление, а для других платформ доступность исправлений зависит от поставщика. Администраторам необходимо проверить версии Xen и установить соответствующие патчи, учитывая, что в Qubes OS после обновления потребуется перезапуск Dom0.
