XenServer Critical 安全更新：管理網絡及客體虛擬機風險須分別修補
情報摘要
Citrix 於 11 月 3 日發布 CTX697256，列為 Critical，涵蓋 XenServer 8.4、9 及指定輔助裝置。CVE-2026-98432 可能讓管理網絡上的未認證攻擊者危害主機或輔助裝置；CVE-2026-102703 則涉及客體虛擬機內的特權使用者。HKCERT 於 11 月 4 日另發通報，評為 Medium Risk。
Citrix 將 CVE-2026-98432 的 XenServer 利用情境限定為管理網絡上的未認證攻擊者，可能危害主機及／或運行中的 WLB、Conversion Manager 裝置；CVE-2026-102703 則可能讓客體虛擬機內的特權使用者危害主機。兩者的接觸面及權限前提不同。
公告另列 CVE-2026-97631、CVE-2026-45447、CVE-2024-38797、CVE-2024-38796、CVE-2022-36764 及 CVE-2022-36763。這組問題涉及同一網絡上的未認證攻擊者在初始 PXE 網絡開機階段危害虛擬機，或客體管理員繞過客體安全開機政策；不能把其中一種前提套用到每項漏洞。
Citrix 表示上述問題均影響 XenServer 8.4 及 9；只有 CVE-2026-98432 在這份公告中另外列明 WLB 與 Conversion Manager 的受影響版本。公告以更新頻道提供主機修補，沒有在已核對正文列出一個適用全部主機的固定組建門檻。
CVE-2026-98432 已在本網的 Linux 核心、Docker Desktop 及 SUSE 修補報道出現。本篇是 XenServer 產品專屬的 CTX697256 修補通報，並非聲稱發現另一個同名新漏洞，也不將其他產品的版本門檻套用到 XenServer。
Citrix 的變更記錄將 2026 年 11 月 3 日列為首次發布；HKCERT 通報日期為 11 月 4 日。本站香港編輯發布日期另記為 11 月 4 日，不把這些公告日期當作漏洞首次發現或首次攻擊日期。
受影響產品
XenServer 8.4 及 XenServer 9；CVE-2026-98432 另影響早於 2026.1.1 的 Workload Balancing（WLB）及早於 2026.2.0 的 Conversion Manager 裝置。主機修補須按所選更新頻道核對。
適用讀者
管理 XenServer 虛擬化主機、Workload Balancing 或 Conversion Manager 的香港企業、託管商及系統管理員
建議行動
按 Citrix CTX697256 及 XenServer 官方更新文件，將 XenServer 8.4／9 更新至所選 Early Access 或 Normal 頻道的最新適用版本；兩個頻道均已提供本次修補。另把 WLB 更新至 2026.1.1 或更新版本，Conversion Manager 更新至 2026.2.0。編輯建議：分別盤點主機與輔助裝置，安排維護並核對更新已生效，不要只更新其中一項便假定全部部署已修補。
風險評級依據
採用 Citrix／Cloud Software Group 對 CTX697256 整份公告的 Critical 評級；HKCERT 對其綜合通報另評為 Medium Risk。兩者屬不同機構的評級，不能相互取代，也不代表八項漏洞具有同一 CVSS 分數或相同利用條件。
解讀限制
已核對的 Citrix 與 HKCERT 通報沒有確認這批問題正遭野外利用；沒有相關聲明不等於證明沒有攻擊。未核實香港受害個案、部署數量或修補比例。
管理網絡可達性、客體內特權、同網絡 PXE 開機階段及客體管理員權限，是不同問題的利用條件，不能概括為互聯網上的任何人均可直接接管所有 XenServer 主機。
本文未逐一核對下載套件的完整主機組建號；管理員須依所用版本、頻道及官方文件確認適用修補。上游或其他產品已修補不代表本地 XenServer 部署已完成更新。
資料來源
本機收藏只保存在此瀏覽器，不會自動同步或分享。