Fallos en Xen dejan que una VM maliciosa lea y escriba la memoria de otras VM

CVE-2026-102703 y CVE-2026-102704 (XSA-523). Anthropic las halló con Claude. Parches fuera; no hay mitigación sin actualizar.

Dos fallas en el hipervisor Xen permiten que una máquina virtual (VM) maliciosa lea y escriba la memoria de otras VM del mismo host, incluida dom0, informó The Hacker News el 4 de noviembre de 2026.

Se rastrean como CVE-2026-102703 y CVE-2026-102704 (aviso XSA-523). Afectan Xen desde la 4.6 en adelante. El proyecto Xen atribuyó el hallazgo a Anthropic con su modelo Claude; Ada Logics y CodeAnt lo validaron después.

El error está en grant copy: Xen reutiliza chequeos de permisos entre copias y, a veces, no vuelve a verificar. XCP-ng califica el impacto como crítico. Qubes 4.3 y Debian bookworm/trixie aún figuran vulnerables hasta aplicar el parche y reiniciar.

Fuente: The Hacker News: «Xen Hypervisor Flaws Let One Malicious VM Read and Write Any Other VM's Memory», 4 de noviembre de 2026.