Falhas no hypervisor Xen permitem que uma VM maliciosa leia e modifique a memória de qualquer outra VM
5 de Novembro de 2026

Duas falhas no hypervisor Xen permitem que uma máquina virtual convidada maliciosa leia e altere a memória de outras máquinas virtuais no mesmo equipamento, inclusive a da dom0.

A dom0 é a máquina virtual que, por padrão, tem permissões totais e gerencia as demais. Em um comunicado de segurança publicado em 03/11/2026, o Xen Project informou que os patches já estão disponíveis e que não há uma forma conhecida de mitigar o problema.

Todas as versões do Xen a partir da 4.6 são vulneráveis; as versões 4.5 e anteriores não são afetadas. As falhas foram registradas como CVE-2026-102704 .

"> CVE-2026-102703 e CVE-2026-102704 e estão descritas no comunicado XSA-523 do Xen.

O Xen Project atribuiu à empresa de IA Anthropic a descoberta das falhas, feita com o modelo Claude. Stephan Lipp, da Ada Logics, validou os resultados. Mais tarde, a equipe de pesquisa em segurança da CodeAnt AI relatou as mesmas falhas de forma independente.

Os problemas estão na operação de cópia de concessões, usada pelo Xen para transferir dados entre máquinas virtuais. Cada máquina virtual informa ao Xen quais de suas páginas de memória podem ser usadas por outras, e o Xen verifica essas permissões.

Para acelerar várias cópias feitas dentro da mesma página de memória, o Xen reaproveita verificações anteriores. Em algumas situações, porém, o sistema não repetia a verificação quando deveria. Esse erro permite que uma máquina virtual convidada maliciosa leia e altere áreas da memória que não lhe pertencem.

O XCP-ng, plataforma de virtualização de código aberto baseada no Xen, informou em suas notas de atualização que “uma única máquina convidada comprometida pode escapar do isolamento e assumir o controle de todo o equipamento”.

O comunicado do Xen não menciona ataques que explorem as falhas nem especifica que tipo de acesso o invasor precisa ter dentro da máquina virtual.

O Qubes OS é um sistema operacional para computadores de mesa com foco em segurança. Ele mantém os programas em compartimentos separados, chamados qubes, baseados no Xen. Um boletim informou que todas as versões e configurações com suporte são afetadas. A correção foi disponibilizada para o Qubes 4.3, a única versão ainda mantida.

Como todas as versões do Xen a partir da 4.6 são vulneráveis, outros produtos baseados nelas também são afetados até que seus fabricantes incluam os patches do XSA-523. Em 04/11/2026, o rastreador de segurança do Debian listava o pacote xen como vulnerável nas versões bookworm, trixie e forky, e como corrigido na sid.

Correções e reinicializações por plataforma

Estas são as correções publicadas até o momento:

- **Código-fonte do Xen:** o comunicado inclui patches para as versões de xen-unstable até o Xen 4.19.x e para as versões 4.18.x a 4.17.x.
- **Xen 4.6 a 4.16:** o comunicado não oferece patches para essas versões. O suporte de segurança do Xen 4.16 terminou em 02/12/2024.
- **XCP-ng 8.3:** a versão xen-4.17.7-4.2.xcpng8.3 foi lançada em 03/11/2026. É necessário reiniciar as máquinas hospedeiras. A Vates, empresa que apoia o XCP-ng, classifica o impacto como crítico.
- **Qubes OS 4.3:** os pacotes Xen 4.19.6-3 estão disponíveis na dom0. É necessário reiniciar a dom0. Usuários do Anti Evil Maid também precisam redefinir sua frase secreta, pois os novos arquivos binários do Xen alteram o PCR18 e o PCR19.

Em 03/11/2026, o Qubes orientou os usuários a continuar instalando as atualizações normalmente. Naquele momento, os pacotes corrigidos estavam no repositório de testes de segurança e deveriam ser transferidos para o repositório estável nas duas semanas seguintes, após testes da comunidade.

O XSA-523 é independente do XSA-500, uma falha anterior na operação de cópia de concessões divulgada pelo Xen em 28/07/2026. O novo problema tem patches próprios.

Publicidade

Anuncie no CaveiraTech e coloque sua marca na frente de milhares de profissionais de cybersecurity

Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...