虚拟化 - 卫方智能网络安全资讯平台

XSA-523：Xen 跨虚机读写内存，dom0 也在射程内且无缓解措施

2026年11月5日作者卫方智能

Xen 项目 11 月 3 日发布 XSA-523，修掉 CVE-2026-102703 与 CVE-2026-102704：恶意 guest 可读写同宿主机上任意虚机内存，包括 dom0。4.6 起全部受影响，无缓解措施，XCP-ng 与 Qubes 已发补丁但都要求重启。

2026年11月1日作者卫方智能

Canonical 披露 LXD 与 MicroCloud 的证书校验缺陷，CVSS 4.0 满分 10.0。攻击者只需拿到任一受信任客户端的公开证书，即可伪造证书链冒充任意客户端，未认证接管整个集群及其下所有虚拟机与容器。

2026年10月19日作者卫方智能

Linux 内核 IPv4 校验和处理缺陷 CVE-2026-99999 允许不可信虚拟机越界读写宿主机内存并提权，CVSS 3.1 评分 9.3，上游已修复但多数发行版内核尚未跟上。

2026年10月10日作者卫方智能

软银子公司 IDC Frontier 证实，其 IDCF Cloud 东日本 1 区于 10 月 7 日凌晨遭勒索攻击，495 家企业与地方政府受影响，虚拟服务器停摆且难以恢复，攻击者声称 7 分钟内加密 225 个数据存储。

2026年9月30日作者卫方智能

KVM 虚拟化加固完整指南：启用 SELinux sVirt 虚机隔离，收敛 libvirt 接口禁用 TCP 监听，裁剪 USB 与 9p 非必要设备，加密镜像并隔离虚机网络。附 virsh 与 ausearch 逐项验证命令。

2026年9月15日作者卫方智能

微软 9 月 14 日紧急发布带外更新 KB5129194/5129195/5129236/5129235/5129237，修复 9 月 8 日安全更新引入的远程桌面服务不稳定、Hyper-V 与 Linux 虚拟机共享目录失效、USB Audio Class 1.0 多声道设备无声等问题。