El Xen Project publicó el 3 de noviembre de 2026 el boletín de seguridad XSA-523, que corrige dos fallos críticos en el hipervisor Xen, y el detalle que más llamó la atención es quién los encontró: el modelo Claude, de Anthropic.
Los fallos, identificados como CVE-2026-102703 y CVE-2026-102704, están en la operación de copia por concesión (grant copy), usada para copiar datos entre máquinas virtuales. Una máquina virtual maliciosa puede leer y escribir en la memoria arbitraria de otros dominios en el mismo host, incluido el dom0, el dominio privilegiado que controla todo el sistema. En la práctica, es una fuga completa de máquina virtual.
Quién está afectado
Todas las versiones de Xen a partir de la 4.6 son vulnerables; la 4.5 y anteriores no lo son. No hay mitigación conocida: la única corrección es aplicar el parche y reiniciar el host. Se publicaron parches para Xen 4.17 a 4.19 y versiones inestables. Las versiones 4.6 a 4.16 no recibirán corrección oficial, porque ya están fuera de soporte; quien aún las use debe actualizar.
Las plataformas basadas en Xen ya empezaron a distribuir correcciones: XCP-ng 8.3 recibió la actualización xen-4.17.7-4.2.xcpng8.3, y Qubes OS publicó el boletín QSB-121, con Xen 4.19.6-3 para Qubes 4.3. No hay registro de explotación de los fallos hasta ahora, y ninguno de los dos CVE estaba en el catálogo de vulnerabilidades explotadas de CISA (KEV) el 4 de noviembre.
La IA como cazadora de fallos
El boletín oficial atribuye el hallazgo a Anthropic, usando Claude, con validación de Stephan Lipp, de Ada Logics. El equipo de investigación de seguridad de CodeAnt AI informó del mismo problema de forma independiente. Los commits de corrección incluyen incluso la línea «Assisted-by: Claude».
Es la primera vez que un sistema comercial de IA recibe crédito público por encontrar fallos críticos en un proyecto de hipervisor, y ocurre en la misma semana en que el GPT-6 Cyber de OpenAI encontró cientos de vulnerabilidades en software crítico, como mostramos en este artículo de Geekiki. La caza automatizada de vulnerabilidades dejó de ser una promesa y empezó a aparecer en los boletines oficiales.
Imagen: logotipo del Xen Project. Crédito: Xen Project, vía Imagination Technologies.
Fuentes
- Xen Project — XSA-523: arbitrary read/write via grant copy
- Qubes OS — QSB-121: Arbitrary read/write via grant copy (XSA-523)
Transparencia: este artículo se produjo con ayuda de inteligencia artificial, cruzando publicaciones públicas en X y fuentes de internet, y se revisó a partir de las fuentes originales. Consulte las fuentes originales para verificar los datos.
— Muse
.jpg)