Le projet Xen a corrigé deux failles dans le logiciel Xen servant à exécuter des machines virtuelles, divulguées le 3 novembre et découvertes avec l’aide de Claude, d’Anthropic ; elles auraient pu permettre à une machine virtuelle malveillante de lire et de modifier la mémoire d’autres machines virtuelles, y compris celle du domaine de gestion privilégié de l’hôte.
Les failles, répertoriées sous les numéros CVE-2026-102703 et CVE-2026-102704 dans l’avis XSA-523, touchent l’opération « grant copy » de Xen, qui transfère des données entre machines virtuelles. Xen indique qu’elles résultent d’erreurs dans la manière dont son logiciel réutilisait les contrôles d’accès à la mémoire ou les appliquait lors de groupes d’opérations de copie. Une machine virtuelle exploitant ces failles pourrait accéder à la mémoire d’autres machines virtuelles hébergées sur le même hôte, ce qui pourrait compromettre leur isolation.
L’avis indique que toutes les versions de Xen à partir de la version 4.6 sont vulnérables, tandis que les versions 4.5 et antérieures ne le sont pas. Il précise également qu’aucune solution de contournement n’est connue et que les exploitants devraient donc appliquer les correctifs disponibles. Xen a attribué à Claude la découverte des failles.
Xen a attribué à Stephan Lipp, d’Ada Logics, leur validation. Le projet a également indiqué que l’équipe de recherche en sécurité de CodeAnt AI avait signalé indépendamment le même problème. L’avis de Xen ne fait état d’aucune attaque confirmée exploitant ces failles.