虛擬化軟件商 Vates 於十一月十日發布安全公告，指用於管理 XCP-ng 虛擬化環境的 Xen Orchestra 及 Xen Orchestra Appliance，存在一項已定為「嚴重」的認證繞過漏洞，而且正在遭利用。攻擊者可在未經認證的情況下取得管理員權限，進而在受管理的虛擬化集區執行程式碼，並以系統最高權限接管 XCP-ng 主機。官方已在穩定通道 6.9.2 與最新通道 6.10.1 提供修補，並建議立即更新，且不要把管理介面暴露於互聯網。相關內容已核對 Vates 官方安全公告 VSA-2026-062，來源真實性已驗證。
Vates／官方：已遭利用的 Xen Orchestra 認證繞過漏洞——未經認證即可取得管理員權限，可接管 XCP-ng 主機；須升至 6.9.2 或 6.10.1
Vates 把這項缺陷寫成「空物件登入權杖」問題，編號 VSA-2026-062，於二零二六年十一月十日公布並同步更新，嚴重程度為「嚴重」（Critical），CVSS 4.0 分數當時尚未提供，公告亦未編配 CVE 編號。來源真實性已驗證：影響範圍、利用現況、修補版本與緩解措施，均對照 Vates 官方安全公告 VSA-2026-062；同一威脅行為者在取得管理員權限後，還被指濫用另一項仍在修復中的虛擬機匯入缺陷，則對照同日公布的 VSA-2026-063。SecurityWeek 於十一月十一日報道印證官方已確認在野利用，並轉述修補版本與影響，技術細節以官方公告為準。
一、核心事件：管理介面認證可被繞過，且已見在野利用
Xen Orchestra 是 Vates 用於管理 XCP-ng 虛擬化集區的控制面，Xen Orchestra Appliance 內含同一套組件。十一月十日，Vates 發布 VSA-2026-062，說明 REST 認證在處理登入權杖時存在缺陷：畸形的空物件權杖會被當成未過濾的查詢，系統因而可能交出第一枚仍未過期的既有權杖，並以該權杖擁有者身分完成認證；其後更可經已認證的介面取得可重用的登入權杖識別碼。官方把影響寫成：攻擊者可繞過認證，並以管理員權限執行操作；一旦 Xen Orchestra 被攻破，可導致在受管理的集區執行任意程式碼，以及以 root 權限完全接管 XCP-ng 節點。
官方明確寫道，這項漏洞正被一名威脅行為者利用，其活動最初來自一個已標明的網絡位址，並經 Tor 隱密服務通訊。受影響版本是 Xen Orchestra 穩定通道 6.9.2 之前、最新通道 6.10.1 之前，以及 Xen Orchestra Appliance。換言之，只要管理介面可被攻擊者連上，風險就不限於「已接上互聯網的示範環境」，內網過於寬鬆的管理網段同樣需要檢視。
同一天，Vates 另發 VSA-2026-063，嚴重程度為「重要」（Important），狀態為「進行中」。公告指，具備虛擬機匯入或相關網絡操作權限的帳戶，可匯入帶有特製欄位的虛擬機映像，進而危害 XCP-ng 主機。官方警告，同一威脅行為者在憑 VSA-2026-062 取得管理員權限後，已實際濫用這條路徑。截至十一月十日，該項缺陷的修補尚未進入最新或穩定通道，Vates 稱正積極開發修復；在修補推出前，官方建議只授權管理員匯入虛擬機，並停用已獲相關匯入或網絡操作權限的其他帳戶。
技術細節
VSA-2026-062 的修復狀態為「已發布」。截至十一月十日，穩定通道 Xen Orchestra 6.9.2 與最新通道 6.10.1 已包含修復，對應套件分別為 xo-server 5.211.2（穩定通道）及 xo-server 5.213.1（最新通道）。若 Xen Orchestra 是由原始碼安裝，官方強烈建議更新至最新的主分支。相關修復亦見於官方引用的程式碼變更記錄。
偵測方面，官方寫明：成功的未認證存取不會留下可用的日誌。防衛團隊須改為監察 HTTP 請求是否出現官方公布的異常權杖模式，並在運行中的虛擬機與 XCP-ng 主機日誌中，按公告所列指標檢查可疑虛擬機與後門痕跡。官方同時提醒，現有偵測方法只對應目前已知的這一波攻擊；不能因為未見到所列指標，就斷定系統沒有被其他手法攻破。
緩解上，官方強烈建議儘快更新，並提出多層措施：不要把 Xen Orchestra 暴露於互聯網，應放在專用管理網絡；立即封鎖公告列出的攻擊基礎設施位址，以及相關的 Tor 通訊；若前面有網站應用防火牆或反向代理，可加入攔截空物件權杖的規則，但官方警告規則可能被其他格式繞過，只能視為權宜之計。若已確認遭到入侵，須輪替 Vates 虛擬化管理環境中的各類密碼與機密，包括代理、備份遠端（NFS、S3、Azure、SMB）、root 帳戶、集區密鑰、用戶帳戶、一次性密碼機密及郵件伺服器密碼等；官方並建議全面重裝，因為單靠清理無法保證攻擊者留下的所有後門都已清除。
這項缺陷由 TDC NET Security 的 Filip Magic 與 Christoffer Olsen 發現。VSA-2026-063 則感謝 Matthias Fetzer 提供日誌與取證報告。
二、技術原理深度解析
這不是一般的「猜到密碼」或會話過期問題，而是管理介面把不應被接受的權杖資料，當成一次有效的查詢。認證系統原本應嚴格要求權杖為可核對的字串；一旦空物件被當作「未加過濾的查找條件」，資料庫或權杖集合就可能交出第一筆仍有效的紀錄，等於把「我是誰」這道關卡，變成「系統裡剛好比對到誰」。攻擊者再以該身分讀取可重用的登入權杖，便可把一次繞過，擴成更穩定的管理存取。
正因為 Xen Orchestra 是集區、主機、儲存與虛擬機的控制面，管理員權限一旦失守，後果會由「進入管理介面」迅速走到「在受管理節點以最高權限執行」。VSA-2026-063 說明了這條鏈如何延續：取得管理員權限後，攻擊者可進一步利用虛擬機匯入路徑，把特製映像送進主機。兩則公告合起來，描述的是「先繞過認證、再憑管理權限深化控制」，而不是兩件互不相關的產品瑕疵。
另一個對防衛有直接意義的設計事實是：未認證的成功存取沒有對應日誌。換句話說，只翻應用程式登入紀錄，可能完全看不見這次繞過。官方因此把偵測重心放到 HTTP 流量、主機檔案與虛擬機配置指標。這也解釋了為何官方強調，即使沒有找到這一波攻擊的特定指標，仍不能排除其他行為者用不同手法利用同一缺陷。
四、日常應用場景
1. 開發者與技術團隊
自行託管 XCP-ng 與 Xen Orchestra 的團隊，應先核對目前通道與 xo-server 版本是否已達 6.9.2／5.211.2（穩定）或 6.10.1／5.213.1（最新），並把管理介面移出互聯網、改放到只限管理人員進入的網絡。更新後仍須按官方指標檢查是否已有可疑虛擬機、異常主機設定或後門檔案。由原始碼部署的環境，則應跟隨官方指引更新至最新主分支，而不是只改前端版本號。
2. 企業與隱私敏感行業
對金融、醫療、專業服務等把生產工作負載放在自建虛擬化平台的機構而言，這是控制面失守的風險，而不是單一虛擬機被關機的問題。管理介面一旦被取得管理員權限，備份遠端、集區密鑰與主機最高權限都可能受影響。企業應把 Xen Orchestra 視作高價值管理系統：限制來源網絡、分開管理平面與生產平面，並為確認入侵預先準備輪替機密與重裝程序。在 VSA-2026-063 的修補推出前，亦應收緊虛擬機匯入權限，只保留管理員能夠匯入。
3. 一般用戶
一般消費者通常不會直接操作 Xen Orchestra。若個人實驗室、小型工作室或學習環境把管理介面映射到公網以便遠端操作，官方的建議同樣適用：先更新到已修補版本，並立刻取消公網暴露。不要把「這只是測試機」當成可以延後修補的理由，因為同一套控制面被攻破後，仍可能成為進入其他主機或備份位置的跳板。
4. 香港與亞洲市場視角
香港不少中小企業、託管商與內部資訊團隊會以 XCP-ng 這類開放虛擬化堆疊自建私有雲，或在本地機房運行生產虛擬機。管理介面若為求方便而直接掛在互聯網或過寬的辦公室網絡上，這次公告描述的認證繞過就會變成可遠端觸達的風險。本地團隊應在香港時間允許的維護窗口盡快完成更新，檢查官方公布的入侵指標，並重新檢視管理平面是否只允許經虛擬私人網絡或專用跳板機進入。對仍把備份送到物件儲存或遠端檔案服務的機構，一旦懷疑遭到入侵，更須按官方清單輪替相關憑證，而不能只重啟管理介面。
五、專業評價與潛在考量
優勢
這是一則有廠商第一手公告、嚴重程度清楚、修補版本寫明、而且官方自己確認正在遭利用的資安消息。Vates 不但公布了已修復的認證繞過，還同步說明同一攻擊鏈如何延伸到虛擬機匯入，並就「沒有登入日誌」這一點給出可操作的流量與主機檢查方向。對仍在運行受影響版本的機構，更新路徑（穩定與最新兩條通道，以及對應的 xo-server 套件版本）足夠具體，可以直接納入變更管理。官方亦沒有把網站應用防火牆規則說成萬全之策，而是寫明可能被其他格式繞過，這種表述有助避免機構只做表面攔截就恢復公網暴露。
需要留意的地方
VSA-2026-062 在公告發布時尚未提供 CVSS 分數，也沒有 CVE 編號，對外通報與資產盤點時須沿用 VSA 編號，避免誤以為「沒有 CVE 就等於低風險」。VSA-2026-063 截至十一月十日仍在修復中，更新至 6.9.2 或 6.10.1 可堵住認證繞過，但並不自動消除這條虛擬機匯入路徑；未修補前必須收緊匯入權限。官方列出的攻擊基礎設施與主機指標，只對應已知的這一波活動，沒有找到並不等於沒有失陷。確認入侵後官方建議全面重裝，意味清理成本可能遠高於一次版本升級，機構應預先評估停機與還原方案。SecurityWeek 等報道可用來判斷事件傳播，但版本號、利用現況與緩解步驟仍以 Vates 公告為準。
結語
Vates 於十一月十日確認，Xen Orchestra 及 Xen Orchestra Appliance 的嚴重認證繞過漏洞正在遭利用，攻擊者可未經認證取得管理員權限，並可能以最高權限接管 XCP-ng 主機。官方已在 6.9.2（穩定通道）與 6.10.1（最新通道）提供修復，同時警告同一攻擊者還利用了仍在修復中的虛擬機匯入缺陷。運行相關平台的團隊應立即更新、限制管理介面暴露範圍，並按官方指標檢查是否已被入侵。
企業若要在香港檢視雲端與虛擬化環境的網絡隔離、管理平面暴露面與事故應變，可參考 YSK Limited 的雲端遷移與網絡安全服務（官網刊 99.99% SLA）（https://ysk.hk/services/cloud-security）。
參考來源
- Vates 官方安全公告 VSA-2026-062：Empty-object login token（主要來源；二零二六年十一月十日）
- Vates 官方安全公告 VSA-2026-063：Crafted keys through XO vm.import privilege（同日；虛擬機匯入缺陷，修復仍在進行）
- Vates xen-orchestra 修復變更 PR #10748
- SecurityWeek：Critical Xen Orchestra Flaws Exploited in Attacks（發現來源／傳播佐證；二零二六年十一月十一日）