Claude、Xenの重大なVM脱出脆弱性を発見

オープンソースのハイパーバイザー「Xen」の開発プロジェクトは11月3日、1台のサーバー上で動く仮想マシン（VM）が、ほかのVMや管理用ドメイン「Dom0」のメモリを自由に読み書きできる脆弱性2件を公表した。セキュリティ勧告「XSA-523」は、米アンソロピックが自社のAIモデル「Claude」を使って発見したと明記している。

ポイント

• XSA-523はXenの「グラントコピー」処理に見つかったCVE-2026-102703とCVE-2026-102704の2件。Xen 4.6以降の全バージョンが影響を受ける。
• Xenプロジェクトによると、既知の緩和策はない。パッチを適用して再起動するしか対処法はない。
• アンソロピックがClaudeで発見し、Ada Logicsのステファン・リップ（Stephan Lipp）氏が検証した。その後、CodeAnt AIのセキュリティ研究チームも同じ問題を独自に報告した。

Xenのグラントコピー脆弱性とは

グラントコピーは、Xen上のVM同士がメモリのデータを受け渡す仕組みだ。たとえばVMと、そのディスクやネットワークを担当するドライバードメインとの間で使われる。隣接するメモリ範囲への複数のコピー操作をまとめて処理する際、Xenは時間を節約するため、先に行った検証結果を再利用する。

XSA-523の勧告によれば、このキャッシュ情報をいつ再検証するかの条件が「一部のケースで正しくなかった」。CVE-2026-102703はフレーム番号とグラント参照が取り違えられる恐れがある問題、CVE-2026-102704はフレーム番号によるコピーを呼び出し元自身のメモリに限る検査が誤った位置に置かれていた問題である。

勧告はその結果について「悪意のあるゲストが、Dom0を含む他のドメインに属する任意のメモリを読み書きできる」と説明する。Xen 4.5以前は影響を受けない。

影響範囲とパッチ

Xenは複数のオープンソース仮想化基盤の土台となっている。XCP-ngを手がけるベイツ（Vates）は勧告VSA-2026-055で影響度を「Critical（重大）」とし、11月3日に修正パッケージxen-4.17.7-4.2.xcpng8.3を配布した。CVSSスコアは「未算出」とされている。

XCP-ngチームは11月3日の更新告知で「侵害されたゲスト1台が隔離を破り、ホスト全体を乗っ取る可能性がある」として、直ちに更新するよう呼びかけた。ホストの再起動が必要だ。

アプリを個別のXen VMに分けて隔離する「Qubes OS」も、告知QSB-121でサポート中の全リリース・全構成が影響を受けると発表した。Qubes 4.3の利用者はdom0でXenパッケージ4.19.6-3を導入し、その後再起動する必要がある。「Anti Evil Maid」の利用者は、計測ブートの値が変わるためパスフレーズを再封印しなければならない。

海外セキュリティ媒体The Hacker Newsは、勧告が実際の攻撃事例や、攻撃者がVM内で必要とする権限に触れていないと指摘した。11月4日時点で、Debianのセキュリティトラッカーはbookworm、trixie、forkyの各リリースのXenをなお脆弱と表示していた。

背景：バグ探しを担うAI

ハイパーバイザーの勧告としては異例のクレジット表記だ。勧告には「この問題はアンソロピックがClaudeを用いて発見し、Ada Logicsのステファン・リップ氏が検証した」と記されている。その翌日の11月4日には、オープンAIが自社のエージェントでLinuxカーネルのバグ948件の攻撃コードを作成したと発表した。

CodeAnt AIのセキュリティ研究チームが同じバグを独自に報告したことは、自動化ツールが深部の欠陥に同時並行でたどり着く時代になったことを示している。

今後の見通し

Qubesは、修正パッケージが今後2週間でテスト用リポジトリから安定版へ移ると見込む。古いXenを運用する事業者は難しい判断を迫られる。勧告のパッチはXen 4.17以降向けのみで、Xen 4.16のセキュリティサポートは2024年12月2日に終了している。

よくある質問

XSA-523の回避策はあるか

ない。Xenプロジェクトとベイツはいずれも、パッチ適用と再起動以外に既知の緩和策はないとしている。

利用しているクラウドのVMも危険か

影響を受けるのは、未修正のXen 4.6以降を使う事業者だけだ。修正はゲストではなくホスト側で行われるため、利用中の事業者のセキュリティ告知を確認する必要がある。

Claudeは単独でバグを見つけたのか

勧告によると、アンソロピックがClaudeを使って発見し、公表前にAda Logicsの研究者が検証した。

参考資料

• XSA-523 - Xen Security Advisories — Xen Project（2026年11月3日）
• VSA-2026-055: arbitrary read/write via grant copy (CVE-2026-102703, CVE-2026-102704 / XSA-523) — Vates（2026年11月3日）
• November 2026 Security and Maintenance Updates #1 for XCP-ng 8.3 LTS — XCP-ng（2026年11月3日）
• QSB-121: Arbitrary read/write via grant copy (XSA-523) — Qubes OS（2026年11月3日）
• Xen Hypervisor Flaws Let One Malicious VM Read and Write Any Other VM's Memory — The Hacker News（2026年11月4日）