XCP-ng 8.3’te XSA-523 yaması: guest escape açığı ve iki reboot planı

XCP-ng 8.3 LTS için Kasım 2026’nın ilk güvenlik ve bakım güncellemesi yayımlandı. Paket, kötü niyetli bir guest’in Dom0 dahil diğer domain’lerin belleğini okuyup yazabildiği XSA-523 açığını kapatıyor ve host reboot’u gerektiriyor. Linux kernel’in TCP stack’indeki ayrı bir açığın yaması bu pakete yetişmedi; en geç 24 saat içinde ayrıca yayımlanacak.

XCP-ng nedir, ne işe yarar?

XCP-ng, Xen hypervisor’ı üzerine kurulu açık kaynak bir sanallaştırma platformudur. Citrix XenServer’ın topluluk çatalı olarak doğdu ve Vates şirketi geliştiriyor. Fiziksel sunucularda sanal makine çalıştırmak, pool halinde host yönetmek ve storage kullanmak için tercih ediliyor. Yönetimi genelde Xen Orchestra ya da host’a gömülü XO Lite ile yapılıyor. Bilinen alternatifleri Proxmox VE ve VMware ESXi.

XSA-523: tek guest, bütün host

Bu güncellemeyi bekletmenin makul bir gerekçesi yok. XSA-523, Xen’in grant copy kodundaki iki hatadan oluşuyor. Kötü niyetli bir guest, diğer domain’lerin belleğini okuyup yazabiliyor ve bu bellek Dom0 ile hypervisor’ı da kapsıyor. Yani tek bir ele geçirilmiş VM, host’u ve üzerindeki bütün VM’leri ele geçirebilir.

En çok risk altında olanlar, VM içine üçüncü taraflara shell erişimi veren ya da müşteri iş yükü barındıran XCP-ng 8.3 pool’ları. Duyuruya göre yamadan başka mitigation yok. Takip için numaralar: CVE-2026-102703, CVE-2026-102704 ve VSA-2026-055.

İki reboot’u nasıl sıralamalı

Kernel’deki TCP açığının yaması QA aşamasında ve iki güncelleme de host reboot’u istiyor. Tek reboot için bir gün beklemek cazip görünebilir. Ama guest escape açığını 24 saat daha açık bırakmak, fazladan bir reboot’tan daha pahalı.

Makul sıra şöyle:

• Xen yamasını şimdi uygulayın, host’ları rolling şekilde yeniden başlatın. Güncellemeler kümülatif, atlanmış eski paketler de bu sırada gelir.
• Kernel açığı için Vates Security Advisory’deki iptables tabanlı mitigation’ı uygulayın.
• Kernel yamasını bir sonraki bakım penceresine bırakın.

iptables kuralının ayrıntısı advisory’de. Kuralı oradan alın, tahminle yazmayın.

XCP-ng 8.3 güncellemesinden sonra bakılacaklar

HVM PIRQ artık HVM VM’lerde varsayılan olarak kapalı. Yeni ayar VM’in bir sonraki boot’unda devreye giriyor. Host reboot’u sırasında VM’leri migrate ediyorsanız, değişiklik o VM’ler yeniden başlayana kadar beklemede kalır. Xen log’unda “Unsupported MSI delivery mode 7” gören GPU ve SSD passthrough kullanıcıları için yeni varsayılan çözüm niteliğinde.

Passthrough yapılan bir Linux VM yeniden başladıktan sonra farklı davranırsa eski ayarı geri alabilirsiniz, ardından VM’i yeniden başlatın:

xe vm-param-set uuid=<VM UUID> platform:hvm-pirq=true

sudo 1.9.17p2’ye yükseldi. Paket üç privilege escalation (yetki yükseltme) açığını kapatıyor, ama varsayılan kurulumda root dışı yerel hesap ya da ek sudo kuralı yoksa bunlar sizi etkilemiyor. Asıl dikkat edilecek nokta secure_path: /usr/local/sbin ve /usr/local/bin artık içinde değil. sudo ile çağırdığınız script’ler bu dizinlerdeyse kırılabilir. /etc/sudoers dosyasını değiştirdiyseniz yeni sürüm yanına kaydedildi:

ls -l /etc/sudoers.rpmnew
diff /etc/sudoers /etc/sudoers.rpmnew

Snapshot metadata hatası da kök nedeninden düzeltildi. Ama güncelleme daha önce bozulmuş snapshot_of alanlarını kendiliğinden onarmıyor. Dokümantasyondaki kontrol adımlarını yama sonrası bir kez çalıştırın.

Granite Rapids host’ları ve microcode

Xeon 6900/6700/6500 P-core işlemcili host’larda BIOS eski microcode taşıyorsa, yeni microcode yüklemek host’u kilitleyebiliyor (Intel erratum GNR98). Xen artık bu yüklemeyi atlıyor ve uyarı log’luyor. Kontrol için:

xl dmesg | grep GNR98

Çıktı boş değilse BIOS güncellemesi planlayın; intel-microcode paketi bunun yerini tutmuyor. Diğer Intel işlemciler microcode-20260925 sürümünü, AMD Zen 5 (family 1Ah) işlemciler yeni microcode’u alıyor. Firmware’deki daha yeni microcode her zaman öncelikli; kalıcı çözüm yine BIOS güncellemesi.

Reboot’un yan kazançları

Aynı reboot, beklenen birkaç düzeltmeyi de getiriyor:

• tapdisk’teki lock kapsamı daraltıldı. Paralel I/O yoğun VM’lerde QCOW2 disklere yazma hızlanıyor; ekip bazı iş yüklerinde yüzde 70’e varan iyileşme bildiriyor.
• XOSTOR kullanan pool’larda önceki güncellemeyle bozulan HA etkinleştirme düzeldi. VM’ler artık LINSTOR servisleri durmadan önce kapatılıyor, büyük pool’larda rolling update’i bozan sıra hatası giderildi.
• Shared SR’lerde pool’daki bir host kapalıyken backup’ların HOST_OFFLINE hatasıyla düşmesi giderildi.
• Jumbo frame kullanan bonded ağa katılan host’un maintenance mode’da takılması çözüldü.

Önceki güncellemeden sonra XOSTOR pool’unda HA’yı açamadıysanız, bu reboot’tan sonra yeniden deneyin.

CVE kayıtları: CVE-2026-102703, CVE-2026-102704