A Citrix publicou em 3 de novembro de 2026 o boletim CTX697256, que reúne oito vulnerabilidades do XenServer. A mais grave, registrada como CVE-2026-98432 e classificada como crítica, permite que um invasor sem autenticação comprometa o host de virtualização e os appliances que o apoiam. O boletim não relata exploração em andamento nem associa malware às falhas.
A empresa não detalhou o erro de programação por trás da falha crítica. O que o boletim define é a condição de alcance: o atacante precisa chegar à rede de gerenciamento, o segmento por onde os administradores controlam os hosts, e não à rede por onde trafegam as máquinas virtuais dos usuários.
A segunda falha identificada, a CVE-2026-102703, parte de dentro. Um usuário com privilégio dentro de uma máquina virtual convidada consegue comprometer o host que a executa, o que quebra o isolamento que justifica a virtualização. As outras seis vulnerabilidades do boletim saíram sem identificador próprio e atingem a inicialização por rede e a inicialização segura.
Comprometer o host significa alcançar todas as máquinas virtuais que rodam nele. Em ambiente de virtualização o hospedeiro concentra o acesso ao disco, à memória e à rede de cada convidado, de modo que uma falha nesse ponto converte uma invasão pontual em acesso a toda a infraestrutura hospedada.
O boletim descreve dois cenários para o grupo de seis falhas. Um invasor sem autenticação na mesma rede consegue comprometer uma máquina virtual durante a partida, quando ela busca o sistema pela rede. E um administrador de dentro do convidado consegue contornar a política de inicialização segura daquela máquina, o que derruba a garantia de que apenas código assinado é carregado.
Estão afetados o XenServer 8.4 e o XenServer 9, além dos appliances Workload Balancing e Conversion Manager. As correções dos dois XenServer saíram pelos canais Normal e Early Access, sem número de versão divulgado no boletim. Para os appliances a Citrix indica o Workload Balancing 2026.1.1 ou posterior e o Conversion Manager 2026.2.0.
A orientação da Citrix é aplicar as correções pelo boletim oficial e, enquanto a atualização avança, isolar a rede de gerenciamento, já que é dela que depende a falha crítica. Restringir esse segmento a estações administrativas conhecidas reduz quem pode sequer tentar o ataque, e vale revisar quais usuários têm privilégio dentro das máquinas virtuais, porque a segunda falha parte justamente de dentro do convidado. Quem mantém os appliances de balanceamento e de conversão em operação deve tratá-los no mesmo ciclo de atualização.
