服务器总管被绕过登录：一处已修，另一条接管路径仍待处理

管理一批服务器的后台，可能因为一次登录检查出错，把管理员身份交给外人。Vates在2026年11月10日确认，Xen Orchestra的登录绕过漏洞已遭实际利用；风险可能延伸到承载虚拟机的实体服务器。这不是研究人员只在实验室里演示的攻击。

Xen Orchestra是什么？它是XCP-ng虚拟化平台的网页控制台，管理员用它创建、复制、迁移虚拟机，也用它安排备份。虚拟机可以理解为在一台实体电脑里分出来的多台“电脑”。这种集中管理省去了逐台操作的麻烦，但控制台也因此像机房的总钥匙，而不只是某个网站的普通账号。产品官网目前已把安全警报放到首页。

这次更需要注意的是，两道门出了不同的问题。编号VSA-2026-062的登录问题已有修复，但相关的VSA-2026-063公告仍标为处理中：拥有特定导入权限的用户，可以借导入虚拟机的流程危及底层主机。厂商表示，攻击者已经把这条路径与前一个漏洞得到的管理员权限结合使用。其11月10日公告列出的受影响版本包含6.10.1，并建议限制导入等权限。

换个容易理解的比喻：补好前门门锁，不等于修好了楼里所有房间的门。两份公告对应的入口和处理状态不同，管理员不能因为看到一个“已修复”，就认为整条攻击路径已经消失。判断是否安全，应分别核对登录入口与导入权限，而不是只看软件版本号有没有变。

攻击虚拟化平台并不是新套路。微软早在2024年7月29日就披露，勒索软件团伙利用另一款平台VMware ESXi的权限漏洞获得控制权，进而加密文件系统，影响其中运行的虚拟机。那是不同产品、不同漏洞，不能混为这次事件；共同的问题是，一处管理权限失守，可能让多项业务一起承受后果。

普通人不一定会使用这种控制台，却可能依赖运行在虚拟机上的服务。对运营者而言，这次警报的意义不是又记住一个漏洞编号，而是把集中管理带来的集中风险算进去：修复入口、收紧高权限操作，以及判断已经发生的入侵，必须分开处理。补丁能封路，不能自动证明此前没有人进来过。

公告发布于2026年11月10日。