XCP-ng 8.3 corrige un fallo crítico de kernel
XCP-ng 8.3 corrige CVE-2026-98432 en el kernel de Dom0. El fallo puede permitir ejecución remota con privilegios del kernel desde redes que alcancen el host; el arreglo requiere reinicio.
Vates publicó la corrección para CVE-2026-98432, un fallo crítico del kernel que afecta a XCP-ng 8.3 LTS y también a Xen Orchestra Appliance. El paquete corregido para XCP-ng está disponible desde el 3 de noviembre; el aviso VSA-2026-056 se actualizó el día 4. El problema vive en el tratamiento de conexiones TCP entrantes, así que importa especialmente qué redes pueden llegar a cada host.
Qué ocurre en el kernel
El fallo es un use-after-free: durante el establecimiento de una conexión TCP IPv4, una ruta concurrente puede leer una estructura de memoria después de que el kernel la haya liberado. Un atacante puede intentar activar la condición enviando paquetes TCP preparados con opciones IPv4; no necesita autenticarse, pero sí poder enviar tráfico al equipo vulnerable.
La consecuencia potencial es ejecución de código con privilegios del kernel en Dom0, el dominio de control de XCP-ng. Dom0 administra el host físico y sus máquinas virtuales, de modo que una intrusión ahí puede comprometer el hipervisor completo y las cargas que dependen de él. Vates califica el impacto como crítico; el aviso indica que todavía no hay puntuación CVSS 4.0 disponible.
-InfraCrew dice: En un hipervisor, “solo llega desde la red de gestión” sigue siendo una frase que merece revisar con el mapa de VLAN abierto.-
El perímetro es la ruta hasta el host
El alcance no se reduce a una interfaz expuesta a Internet. XCP-ng advierte que puede intentarlo cualquiera que alcance el host mediante TCP, incluidos equipos de la red de gestión y máquinas virtuales conectadas a esa misma red. Eso no demuestra que todos los despliegues sean alcanzables desde fuera: manda la conectividad real, las reglas de filtrado y la separación entre redes de gestión y de cargas.
La comprobación operativa empieza por identificar hosts 8.3 sin el kernel corregido y revisar qué segmentos pueden enviarles tráfico. También conviene incluir redes de administración de hipervisores en los controles de acceso y en el inventario de sistemas vulnerables; una VLAN llamada “management” no es una barrera si demasiados invitados pueden hablar con ella.
-InfraCrew dice: Las VLAN no leen el nombre que les pusimos en el diagrama; filtran lo que dicen sus reglas.-
Parche y reinicio
Vates publica para XCP-ng 8.3 el paquete kernel-4.19.19-8.0.46.14.xcpng8.3. El nuevo kernel no queda activo hasta reiniciar el host, por lo que descargar e instalar la actualización sin reservar la ventana de reinicio no completa la corrección. Antes de aplicarla, el equipo debe revisar el procedimiento de actualización vigente y planificar la evacuación o disponibilidad de las máquinas virtuales según su arquitectura.
Si el reinicio no puede hacerse de inmediato, XCP-ng y Vates documentan una mitigación temporal con iptables que descarta paquetes TCP entrantes con opciones IPv4; actúa sin reiniciar y bloquea el camino vulnerable mientras llega la ventana de mantenimiento. No conviene improvisar una regla parecida: hay que copiar la indicada para XCP-ng en el aviso y revisar su interacción con la configuración local, especialmente si se usan redes privadas globales. La mitigación no sustituye al kernel corregido y debe retirarse según las instrucciones cuando el arreglo esté aplicado.
-InfraCrew dice: La regla temporal sirve para comprar una ventana de mantenimiento; no para convertirla en una fecha del calendario.-
La prueba pública tiene un límite
Anthropic publicó una prueba de concepto que explota el mismo fallo mediante MPTCP, una variante multipath de TCP. El kernel de XCP-ng 8.3 no incluye MPTCP, por lo que esa prueba concreta no funciona contra XCP-ng. Sin embargo, Vates aclara que el defecto subyacente sí está presente y que no se pueden descartar otras formas de explotarlo. Que una PoC no encaje con esta compilación no equivale a que el host esté parcheado.
La divulgación tampoco demuestra por sí sola que exista explotación activa contra instalaciones XCP-ng. La decisión útil es más concreta: comprobar versión, exposición de red y estado del reinicio, y conservar la mitigación temporal solo durante el intervalo necesario. Para un host alcanzable desde segmentos no confiables, actualizar y reiniciar merece prioridad dentro de una ventana coordinada con las cargas.
Diccionario de la Crew
CVE — Identificador público asignado a una vulnerabilidad.
Dom0 — Dominio de control privilegiado que administra el host y sus máquinas virtuales en XCP-ng.
MPTCP — Multipath TCP, extensión que permite una conexión TCP por varias rutas de red.
use-after-free — Error de memoria que permite reutilizar una referencia después de liberar el objeto al que apuntaba.
