Xen: Mehrere Schwachstellen
WID-SEC-2026-2568 · erstmals 29.07.2026 · aktualisiert 05.10.2026 · CVSS 9,8
Worum es geht
Xen ist ein Virtueller-Maschinen-Monitor (VMM), der Hardware (x86, IA-64, PowerPC) für die darauf laufenden Systeme (Domains) paravirtualisiert. Ein Angreifer kann mehrere Schwachstellen in Xen ausnutzen, um seine Privilegien zu erhöhen, vertrauliche Informationen offenzulegen oder einen Denial-of-Service-Zustand auszulösen.
Unter welchen Bedingungen?
Das BSI nennt keine besonderen Voraussetzungen. Laut BSI aus der Ferne ausnutzbar.
Was schlimmstenfalls passieren kann
Ein Angreifer könnte die Lücke nutzen, um
- seine Privilegien zu erhöhen
- vertrauliche Informationen offenzulegen oder einen Denial-of-Service-Zustand auszulösen
Bin ich betroffen?
Betroffen sind laut BSI:
- Debian Linux
- Fedora Linux
- Citrix Systems XenServer 8.4
- SUSE Linux
- SUSE openSUSE
- Open Source Xen 4.17.x
- Open Source Xen 4.18.x
- Open Source Xen 4.19.x
- Open Source Xen 4.20.x
- Open Source Xen 4.21.x
- Open Source Xen 4.22.x
- Citrix Systems XenServer 9
Die installierte Version steht meist unter „Hilfe → Über“ oder in der Verwaltungsoberfläche des Geräts.
Was hilft?
Die vom Hersteller bereitgestellten Updates einspielen; Details in den Quellen unten.
Wird die Lücke schon ausgenutzt?
Keine der CVEs steht im CISA-Katalog ausgenutzter Lücken. Das heißt nicht, dass es keine Angriffe gibt, nur dass keine belegt sind.
Informationen und Quellen
- Originalmeldung des BSI (WID)
- Xen Security Advisory vom 2026-07-28 xenbits.xen.org
- Xen Security Advisory vom 2026-07-28 xenbits.xen.org
- Xen Security Advisory vom 2026-07-28 xenbits.xen.org
- Xen Security Advisory vom 2026-07-28 xenbits.xen.org
- Xen Security Advisory vom 2026-07-28 xenbits.xen.org
- Xen Security Advisory vom 2026-07-28 xenbits.xen.org
- Xen Security Advisory vom 2026-07-28 xenbits.xen.org
- Xen Security Advisory vom 2026-07-28 xenbits.xen.org
- Xen Security Advisory vom 2026-07-28 xenbits.xen.org
- Xen Security Advisory vom 2026-07-28 xenbits.xen.org
- Xen Security Advisory vom 2026-07-28 xenbits.xen.org
- Xen Security Advisory vom 2026-07-28 xenbits.xen.org
- Xen Security Advisory vom 2026-07-28 xenbits.xen.org
- Red Hat Bugtracker 2508006 vom 2026-07-28 bugzilla.redhat.com
- Red Hat Bugtracker 2508009 vom 2026-07-28 bugzilla.redhat.com
- Red Hat Bugtracker 2508010 vom 2026-07-28 bugzilla.redhat.com
- Red Hat Bugtracker 2508012 vom 2026-07-28 bugzilla.redhat.com
- Red Hat Bugtracker 2508014 vom 2026-07-28 bugzilla.redhat.com
- Red Hat Bugtracker 2508016 vom 2026-07-28 bugzilla.redhat.com
- Red Hat Bugtracker 2508021 vom 2026-07-28 bugzilla.redhat.com
- Red Hat Bugtracker 2508027 vom 2026-07-28 bugzilla.redhat.com
- Red Hat Bugtracker 2508028 vom 2026-07-28 bugzilla.redhat.com
- Red Hat Bugtracker 2508029 vom 2026-07-28 bugzilla.redhat.com
- Red Hat Bugtracker 2508030 vom 2026-07-28 bugzilla.redhat.com
- Red Hat Bugtracker 2508034 vom 2026-07-28 bugzilla.redhat.com
und 11 weitere Quellen in der Originalmeldung
CVE: CVE-2026-42492, CVE-2026-42493, CVE-2026-42494, CVE-2026-42495, CVE-2026-62423, CVE-2026-62424, CVE-2026-62425, CVE-2026-62426, CVE-2026-62427, CVE-2026-62428, CVE-2026-62429, CVE-2026-62430, CVE-2026-62431, CVE-2026-62432, CVE-2026-62433, CVE-2026-62434, CVE-2026-62435, CVE-2026-62436
Quelle: BSI, Warn- und Informationsdienst (CERT-Bund); CISA. Die Einordnung der Bedingungen ist meine Lesart des BSI-Textes; die Fremdseiten sind in ihrer Originalsprache.