Xen Projesi, 3 Kasım'da 12:00 UTC'de CVE-2026-102703 ve CVE-2026-102704'ü kapsayan XSA-523 duyurusunu yayımladı: "grant copy ile keyfî okuma/yazma". Etki açıklaması tek cümle: "Kötü niyetli bir konuk, dom0 dahil olmak üzere diğer alanlara ait keyfî belleği okuyabilir ve yazabilir." Dom0, bir Xen sunucusundaki diğer tüm sanal makineleri yöneten ayrıcalıklı kontrol alanıdır. Bir konuk oraya yazabiliyorsa, o makinedeki kiracılar arasındaki yalıtım bitmiş demektir.

Mekanizma, bir zamanlar güvenli olan ama artık olmayan bir performans iyileştirmesi. Xen alanları belleği grant tabloları üzerinden paylaşır; grant copy, bir alanın hipervizörden iki konum arasında bayt taşımasını istemesini sağlar ve bu konumların her biri ya bir grant referansıyla ya da çağıranın kendi çerçeve numarasıyla adlandırılır. İş yükleri tipik olarak aynı sayfanın bitişik aralıklarına yönelik toplu kopyalamalar yaptığı için Xen, doğrulanmış eşlemeleri yeniden denetlememek üzere önbelleğe alır. Duyuruya göre bu önbelleğin yeniden doğrulanma koşulları "bazı durumlarda doğru değildi" ve bu iki ayrı hata doğurdu. CVE-2026-102703'te "çerçeve numaraları ile grant referansları yanlışlıkla karıştırılabiliyordu"; yani bir sonraki işlem belleğini farklı biçimde adlandırdığında önbellekteki eşleme yeniden kullanıldı. CVE-2026-102704'te ise çerçeve numarasıyla kopyalamayı çağıranın kendi belleğiyle sınırlayan denetim "yanlış yere konmuştu".

İki yol da aynı yere çıkıyor: kendi hiperçağrı argümanlarını kontrol eden bir konuk, hipervizöre sahip olmadığı sayfalardan okuma veya bu sayfalara yazma yaptırabiliyor. Keyfî okuma diğer kiracıların bellekteki anahtarlarını ve sırlarını açığa çıkarıyor; dom0'a keyfî yazma ise sunucuya giden bir yol veriyor. XCP-ng'nin arkasındaki şirket Vates bunu kendi duyurusunda süssüz biçimde söylüyor: "Ele geçirilmiş tek bir konuk, yalıtımından kaçıp tüm sunucuyu devralabilir."

Onarım hikâyesi açığın kendisinden daha kötü. Xen bilinen bir azaltma yöntemi olmadığını söylüyor: ne bir yapılandırma anahtarı, ne konuk türü değişikliği, ne de bir özellik anahtarı. Çözüm yamalı bir hipervizör ve yamalı hipervizör ancak sunucu ya da dom0 yeniden başlatıldıktan sonra devreye giriyor. Üst akış yamaları xen-unstable'dan 4.17.x'e kadar uzanıyor; duyuru Xen 4.6 ile 4.16 arası için hiçbir şey listelemiyor — ki 4.16 dalı güvenlik desteğini Aralık 2024'te yitirmişti. 4.6 ve sonrasındaki tüm sürümler etkileniyor. Alt akışta XCP-ng 8.3 ile Citrix XenServer 8.4 ve 9 aynı gün güncelleme yayımladı, SUSE SLE 15 SP7 için düzeltme verdi, Qubes güvenlik test deposunda bekleyen düzeltmeyle QSB-121'i yayımladı ve Red Hat ürünlerinin etkilenmediğini açıkladı. Debian'ın izleyicisi 4 Kasım itibarıyla bookworm, trixie ve forky'yi hâlâ savunmasız gösteriyordu; yalnızca sid düzeltilmişti. Ubuntu paketlerini "değerlendirilmesi gerekiyor" olarak listeliyor. Xen hiçbir CVSS puanı yayımlamadı ve iki CVE de CISA'nın bilinen sömürü kataloğunda değil.

Duyuru aynı zamanda altyapı açıklarını kimin bulduğuna dair bir kaymayı işaretliyor. XSA-523, her iki açığı da Claude kullanan Anthropic'in bulduğunu belirtiyor; Ada Logics'ten Stephan Lipp bunları doğruladı, CodeAnt AI Security Research Team ise bağımsız olarak bildirdi. Bu, bu tür bulguların yıllarca yayımlanmadan durduğu katman: hipervizör grant-table kodu küçük, eski, yoğun incelenmiş ve nadiren değişen bir kod — sabırlı bir otomatik okuyucuyu en çok ödüllendiren profil tam olarak bu. Hiçbir satıcı sömürü bildirmedi.

Operatörler için pratik sorun yama aciliyeti değil, envanter. Çoğu kurum Xen'i kendisi çalıştırmıyor; barındırma, VPS ve çok kiracılı SaaS sağlayıcıları çalıştırıyor olabilir. Sorular şunlar: bu sunucular hangi dalda, yama kurulu mu ve makine o zamandan beri gerçekten yeniden başlatıldı mı? 4.6–4.16 aralığındakiler için de: satıcının geri taşıma desteği var mı? Xen, 10 Kasım için XSA-529 ve XSA-530'u şimdiden ön duyurdu; yani kesinti planlayanlar iki kez yapmayı beklemeli.

Kaynaklar