Citrix XenServer の脆弱性 CVE-2026-98432／102703 などが FIX：仮想化ホスト侵害の可能性

Critical Citrix XenServer Flaw Allows Unauthenticated Attackers to Take Control of Virtualization Hosts

2026/11/05 gbhackers — Citrix が XenServer 8.4／9 向けに公開したのは、深刻な脆弱性に対処するセキュリティ・アップデートである。この脆弱性を悪用する管理ネットワークに接続できる未認証の攻撃者は、仮想化ホストを侵害することが可能になる。2026年11月3日に Cloud Software Group は、8件の CVE を対象とするセキュリティ・アドバイザリ CTX697256 を公開し、深刻度を Critical と評価した。

Citrix XenServer の脆弱性

最も深刻な問題として特定されたのは、脆弱性 CVE-2026-98432 である。Citrix によると、この脆弱性を悪用する管理ネットワーク上の未認証の攻撃者は、ホストを侵害する可能性がある。この攻撃者は、稼働中の Workload Balancing (WLB) または Conversion Manager アプライアンスを侵害する可能性もある。この脆弱性の CVSS スコアや技術的な根本原因は、アドバイザリには記載されていない。

注目すべき点は、CVE-2026-98432 が、CVSS 9.8 と評価された Linux Kernel の IPv4 TCP における Use-After-Free の脆弱性と、同じ識別子を使用していることである。この脆弱性については、リモートから悪用して root 権限を取得する可能性が報告されている。

ただし、Citrix は両者の関連性について言及していないため、Admin は関連があると判断すべきではない。また、アドバイザリには、現在進行中の悪用試行についての記述もない。

2件目の脆弱性 CVE-2026-102703 を悪用するゲスト VM 内の特権ユーザーが、仮想化の基盤となる分離機構を突破してホストを侵害する可能性がある。マルチテナント環境やホスティング環境のリスクが高いのは、ゲスト VM の Admin を必ずしも信頼できないからである。

3つ目のグループに含まれる 6件の CVE は、ネットワークブートとセキュアブートに影響を及ぼす。対象となるのは、CVE-2026-97631／CVE-2026-45447／CVE-2024-38797／CVE-2024-38796／CVE-2022-36764／CVE-2022-36763 である。これらの脆弱性により、同一ネットワーク上の未認証の攻撃者が、PXE ブート中の VM を初期起動段階で侵害する可能性がある。また、ゲスト VM の Admin が、ゲストのセキュアブートポリシーを回避する可能性もある。

これらの問題は、XenServer 8.4／9 に影響する。CVE-2026-98432 は、Workload Balancing 2026.1.1 以前のバージョンと、Conversion Manager 2026.2.0 以前のバージョンにも影響を及ぼす。HKCERT は、このアドバイザリのリスクを Medium と評価し、影響として Denial-of-Service (DoS) とセキュリティ制限の回避を挙げている。これは、Citrix による Critical の評価とは異なる。

Citrix は、XenServer の両バージョンについて、Early Access および Normal の各アップデート・チャネルで修正版を配信している。ユーザーに対して推奨されているのは、利用しているチャネルで提供される最新バージョンへのアップデートである。また、Workload Balancing 2026.1.1 以降と Conversion Manager 2026.2.0 へのアップデートも推奨されている。アプライアンス向けのアップデートは、XenServer のダウンロード・ページから入手できる。

Admin に求められる対応は、以下のとおりである。

  • 管理プレーンのホストに優先してパッチを適用する。
  • 管理ネットワークへのアクセスを、信頼できる管理システムのみに制限する。
  • ゲスト VM 内で Admin 権限を保有しているユーザーを監査する。
  • PXE ブート用のネットワークセグメントとセキュアブートのコンフィグを確認する。

Citrix は、別のアドバイザリ CTX697300 も公開している。対象となるのは、Google Brotli の戻り値に対する、未検証の脆弱性 CVE-2026-111497 であり、Unicon eLux Scout に影響する。

この記事は、仮想化プラットフォームである Citrix XenServer に存在する重大な不具合群と、必要なセキュリティ更新について解説するものです。管理用通信経路における認証機構の不全や仮想マシン間の分離境界に関する不備が背景に存在します。影響として、ホスト環境全体の乗っ取り／仮想空間の保護境界突破／ネットワーク起動時の不正制御権取得が生じる恐れがあります。対応策として、最新の修正版プログラムの適用／管理専用ネットワークの接続制限／仮想マシン内管理者権限の監査が求められます。