Xen-Orchestra-Lücke: Hacker werden mit gefälschtem Cookie zum "Admin" — jetzt prüfen

Eine kritische, bereits aktiv ausgenutzte Lücke in Xen Orchestra lässt Angreifer den Login komplett umgehen und Root-Kontrolle über virtuelle Server übernehmen — spurlos.

Wenn Ihr Unternehmen oder Ihr IT-Dienstleister virtuelle Maschinen über XCP-ng mit Xen Orchestra betreibt, gibt es ein ernstes Problem, das jetzt Aufmerksamkeit braucht – nicht nächste Woche. Am 10. November 2026 veröffentlichte der Hersteller Vates das Sicherheitsadvisory VSA-2026-062, das eine kritische Authentifizierungs-Umgehung beschreibt, die bereits aktiv ausgenutzt wird.

Was genau kaputt ist

Xen Orchestra ist eine beliebte Management-Konsole für Xen/XCP-ng-Virtualisierung – genau die Art von selbst gehosteter Infrastruktur, die viele Schweizer KMU und kleinere IT-Dienstleister wählen, weil sie günstiger ist als kommerzielle Alternativen wie VMware. Dieser Kostenvorteil ist genau der Grund, warum diese Lücke so relevant ist: Ein erheblicher Teil echter Geschäftsinfrastruktur läuft damit.

Laut der Berichterstattung von BleepingComputer liegt das Problem daran, wie Xen Orchestra Authentifizierungs-Cookies prüft, die über die REST-API gesendet werden. Mit einem speziell präparierten Cookie, das nur ein leeres JSON-Objekt enthält, kann ein Angreifer den Login-Bildschirm komplett umgehen – kein Benutzername, kein Passwort, keine MFA, die überwunden werden müsste.

Einmal drin, erhält der Angreifer keine eingeschränkte Gastansicht. Vates bestätigt, dass vollständige Admin-Rechte erlangt werden, beliebiger Code auf allen verwalteten Pools ausgeführt werden kann und ein XCP-ng-Node komplett als Root übernommen werden kann. Auf Deutsch: Jede virtuelle Maschine, jede Arbeitslast, jedes Datenstück auf dieser Infrastruktur ist exponiert.

Warum diese Lücke besonders gefährlich ist

Zwei Dinge unterscheiden diesen Fall von einem gewöhnlichen "patchen und vergessen"-Bug. Erstens wird die Lücke bereits aktiv ausgenutzt – das ist kein theoretisches Risiko, sondern passiert jetzt. Zweitens, und noch beunruhigender: Ein erfolgreicher Angriff erzeugt keine der üblichen Log-Einträge, auf die sich Administratoren normalerweise verlassen, um einen Einbruch zu erkennen. Das bedeutet, ein Server könnte bereits kompromittiert sein, ohne dass es an den gewohnten Stellen sichtbare Spuren gibt.

Deshalb rät Vates Administratoren, sich nicht nur aufs Patchen zu verlassen. Das Advisory empfiehlt, den HTTP-Traffic aktiv auf das schädliche Cookie-Muster zu überwachen und nach bekannten Kompromittierungsindikatoren Ausschau zu halten, darunter verdächtige IP-Adressen und Onion-(Tor)-Domains, wie SC World berichtet.

Was heute zu tun ist

• Sofort aktualisieren. Der Fix ist in den Versionen 6.10.1 und 6.9.2 von Xen Orchestra enthalten, veröffentlicht am 10. November 2026. Es wurde noch keine CVE-Nummer oder CVSS-Bewertung vergeben, aber "keine Bewertung" bedeutet nicht "geringes Risiko" – Vates selbst stuft dies als kritisch ein.
• Von einer möglichen Kompromittierung ausgehen, nicht nur vom Bug selbst. Ein Patch schliesst die Tür, macht aber nicht rückgängig, was ein Angreifer bereits getan haben könnte. Prüfen Sie Ihre Zugriffs- und HTTP-Logs, soweit vorhanden, auf das beschriebene verdächtige Cookie-Muster.
• Bei Verdacht auf Kompromittierung: alles zurücksetzen. Das Advisory von Vates empfiehlt explizit, sämtliche Passwörter und Geheimnisse der Plattform zu erneuern: Proxy-Zugangsdaten, Backup-Ziele (NFS, S3, Azure, SMB), das Root-Konto, das Pool-Secret, einzelne Benutzerkonten, OTP-Secrets und Passwörter der Mailserver-Konfiguration. Ein unvollständiger Reset lässt eine Hintertür offen.
• Zugriff auf die Management-Oberfläche einschränken. Falls Xen Orchestra oder XOA aus dem offenen Internet erreichbar ist, stellen Sie es hinter ein VPN oder eine IP-Zulassungsliste, während Sie den Patch bestätigen und die obigen Prüfungen durchführen.
• Beim IT-Dienstleister direkt nachfragen. Wenn Sie Ihre Virtualisierungsinfrastruktur nicht selbst verwalten, fragen Sie konkret nach: "Setzen wir Xen Orchestra oder XCP-ng ein, und wurde VSA-2026-062 behoben?" Verlassen Sie sich nicht auf Annahmen – fordern Sie eine schriftliche Bestätigung.

Das grössere Bild

Dies ist der neueste in einer stetigen Reihe kritischer, aktiv ausgenutzter Lücken in geschäftskritischer Infrastruktur – von VPNs über NAS-Geräte bis hin zu Virtualisierungsplattformen. Das Muster ist klar: Angreifer sind schneller als Patch-Zyklen, und "das machen wir im nächsten Sprint" ist keine sichere Antwort mehr. Den Überblick zu behalten, welche Systeme Aufmerksamkeit brauchen, und Fixes tatsächlich anzuwenden, bevor Angreifer sie finden, wird zunehmend zum Vollzeitjob.

Genau bei dieser Art von täglicher Wachsamkeit unterstützt The Mejlerö Company (Flitz.ai) Schweizer KMU – mit Überwachung der Infrastruktur, Sicherheits-Grundlagen wie Zwei-Faktor-Authentifizierung und Endpoint-Schutz sowie dafür zu sorgen, dass kritische Updates nicht untergehen. Wenn Sie nicht sicher sind, was in Ihrer Umgebung läuft oder wer darauf achtet, ist eine kostenlose Netzwerk-Analyse ein guter Startpunkt. Wir beobachten solche Geschichten weiter und berichten, was diese Woche tatsächlich zu tun ist.