Xen XSA-523: Grant Copy Açığı, CVE-2026-102703 ve CVE-2026-102704

Xen Project, 3 Kasım 2026’da yayımladığı XSA-523 duyurusunda, Xen 4.6 ve sonrasındaki tüm sürümleri etkileyen ve “grant copy” üzerinden rastgele okuma ve yazmaya yol açan iki açığı (CVE-2026-102703 ve CVE-2026-102704) açıkladı; bilinen bir hafifletme yok, yamalar yayımlandı.

Künye

XSA-523 Ne Anlatıyor?

Xen, sanal makineleri (konukları) birbirinden ayıran açık kaynaklı bir hipervizördür. Xen Project’in güvenlik duyuruları “XSA” numarasıyla yayımlanır. XSA-523, “grant copy” adı verilen mekanizmadaki bir hataya ilişkindir. Grant copy, bir alanın başka bir alanla belleğini paylaşma ve kopyalama işleminde kullanılan Xen mekanizmasıdır. Duyuruya göre bu hata, kötü niyetli bir konuğun diğer alanlara ait belleği okumasına ve yazmasına izin verebilir; buna Dom0 olarak bilinen yönetim alanı da dahildir.

Duyuru iki ayrı CVE numarası veriyor: CVE-2026-102703 ve CVE-2026-102704. Etkilenen sürüm aralığı Xen 4.6 ve sonrasıdır; Xen 4.5 ve daha eski sürümler etkilenmiyor.

Yamalar ve Hafifletme

Duyurunun hafifletme satırı “bilinen yok” diyor; yani yama uygulamak dışında duyuruda önerilen bir geçici çözüm yok. Yamalar iki grupta verilmiş: xen-unstable ve Xen 4.19.x için iki yama dosyası, Xen 4.18.x ve 4.17.x için ayrı iki yama dosyası. Duyuru ayrıca, yayımlanmış sürümler için hazırlanan yamaların en son sürüm arşivine temiz uygulanmayabileceğini ve önce kararlı dalın en son durumuna güncellenmesinin önerildiğini belirtiyor.

Bu sayfa hangi sürümde düzeltme bulunduğuna dair ayrıca bir iddia kurmaz; ilgili sürüm dalı için duyurudaki yama listesine bakmak gerekir.

Kredi Satırı

Duyurunun krediler bölümüne göre sorun Anthropic tarafından Claude kullanılarak keşfedilmiş, ardından Ada Logics’ten bir araştırmacı tarafından doğrulanmıştır; CodeAnt AI Security Research Team ise sorunu bağımsız olarak bildirmiştir. Dolayısıyla keşfi tek bir tarafa bağlamak doğru olmaz. Duyuru, açığın istismar edildiğine dair bir bilgi vermiyor.

Yapay zekâ araçlarının güvenlik açığı bulmadaki rolüne dair bu sitedeki diğer sayfalar için Anthropic AI for Science genişlemesi sayfamıza bakabilirsiniz. Benzer bir güvenlik duyurusu için Rejetto HFS CVE-2026-61500 sayfası da var.

Bu Sayfada Ne Yok?

• İstismar ayrıntıları ve saldırı adımları: duyuruda yok ve bu sitede yayımlanmaz.
• Açığın aktif olarak istismar edildiğine dair bilgi: duyuruda yok.
• Hangi bulut sağlayıcılarının veya ürünlerinin etkilendiği: duyuruda yok.
• Xen 4.19’dan sonraki sürümler için ayrı yama satırı: bu sayfada yazılmadı.
• Önem derecesi puanı (CVSS): okunan duyuru özetinde yok, bu nedenle yazılmadı.
• Türkiye’ye dair bilgi: duyuruda yok.
• Kuruma özel yama uygulama talimatı: bu sayfa yönetim rehberi değildir; sistem yöneticileri doğrudan duyuruya başvurmalıdır.

Sık Sorulan Sorular

XSA-523 nedir?

Xen Project’in 3 Kasım 2026 tarihli güvenlik duyurusudur; grant copy mekanizmasındaki bir hata nedeniyle rastgele okuma ve yazma sorununu anlatır.

Hangi CVE numaraları var?

CVE-2026-102703 ve CVE-2026-102704.

Hangi sürümler etkileniyor?

Xen 4.6 ve sonrasındaki tüm sürümler. Xen 4.5 ve öncesi etkilenmiyor.

Geçici çözüm var mı?

Duyuru bilinen bir hafifletme olmadığını söylüyor; çözüm olarak yamalar yayımlanmış.

Açığı kim buldu?

Duyurunun kredi satırına göre sorun Anthropic tarafından Claude kullanılarak keşfedildi ve Ada Logics’ten bir araştırmacı tarafından doğrulandı; CodeAnt AI ekibi de bağımsız olarak bildirdi.

Açık istismar edildi mi?

Duyuru istismar bilgisi vermiyor; bu nedenle istismar edildiği söylenemez.

Kaynak ve kapsam: Bilgiler Xen Project’in XSA-523 güvenlik duyurusundan (xenbits.xenproject.org/xsa/advisory-523.html) okunmuştur. İstismar ayrıntıları, etkilenen ürün listesi, CVSS puanı ve Türkiye verisi duyuruda bulunmadığından veya yayın ilkeleri gereği yazılmamıştır. Veri tarihi: 5 Kasım 2026.