分析
XenのアドバイザリーXSA-523は、ゲストVMが4.6以降の全バージョンで他ドメインのメモリを読み書きできるgrant copyの脆弱性2件の発見をAnthropicのClaudeに帰している
XenのXSA-523は、4.6以降の全バージョンに及ぶgrant copyの脆弱性2件の発見をAnthropicのClaudeに帰属。回避策は不明で、深刻度は評価が割れる。
XenのアドバイザリーXSA-523（バージョン2）は2026年11月3日に公開され、題名は「arbitrary read/write via grant copy」だ。対象はCVE-2026-102703とCVE-2026-102704の2件の脆弱性である。アドバイザリーによると、悪意あるゲストVMは4.6以降のすべてのバージョンで、Dom0を含む他のドメインのメモリを読み書きでき、既知の緩和策はない。アドバイザリーはAnthropicがClaudeを使って発見したとしている。投資・法律・セキュリティの助言ではない。
要点
- 範囲：4.6以降のすべてのバージョン。4.5以前は影響を受けない。修正があるのはxen-unstableと4.17〜4.19だけ。
- 深刻度：アドバイザリーは示していない。複数のメディアは重大とし、一方でCVSS 4.4（中）という数値も出回っている。
- Claude：アドバイザリーはAnthropicがClaudeを使って発見したとする。手法は公表されていない。
- 未確定：実際の深刻度、過去の悪用、影響を受けるアーキテクチャ。
アドバイザリーとCVEは何を述べているのか
CVE-2026-102703：Grant Copy操作のバッチが検証結果のキャッシュを再利用すると、フレーム番号とグラント参照が取り違えられることがある。CVE-2026-102704：フレーム番号によるコピーは呼び出し元自身のメモリにだけ許されるべきだが、それを強制する検査の位置が誤っている。概要としては、バッチは同じページの隣接範囲を対象にすることが多く、Xenは速度のために検証済みの情報をキャッシュしており、一部の場合に再検証の規則が誤っていた。CVEは9月29日に予約され、アドバイザリーは11月3日に、CVEの登録情報は11月4日に公開された（OffSeq Radar）。悪用の詳細は本稿では示さない。
誰が影響を受け、何を修正すべきか
アドバイザリーは対象のアーキテクチャも必要な構成も挙げていない。Ostorlabによれば、グラントテーブルを持つゲストであれば誰でも該当の操作を発行でき、コードがXen固有のためKVM、Hyper-V、VMwareは対象外だ。xen-unstableと4.19.xの修正はxsa523-1とxsa523-2、4.18.xと4.17.xはxsa523-4.18-1とxsa523-4.18-2である。最新のアーカイブにはきれいに適用できない場合があるため、アドバイザリーはまず安定版ブランチの先頭に移ることを勧めている。4.6〜4.16には修正がなく、AI WeeklyとOstorlabはこれらをサポート終了としている。
出典：XenのアドバイザリーXSA-523、AI Weekly、Ostorlab。
AI Weeklyは、XCP-ng 8.3（ホストの再起動が必要）とQubes OS 4.3（dom0の再起動が必要）のパッケージ、およびSUSEの更新を伝えている。Ostorlabによれば、信頼できないゲストを動かすホストが危険にさらされる。クラウド利用者のゲストはホストの修正状況を見られないため、提供元にXSA-523への対応状況を尋ねるよう勧めている。情報源の助言は、提供元の修正を適用することに尽きる。
深刻度はどれほどか
アドバイザリーはCVSSスコアも深刻度の評価も示していない。AI Weeklyを含む複数のメディアは、これらを重大な脆弱性と呼んでいる。OffSeq Radarは、CISA-ADPが付けたCVSS 3.1の4.4（中）を掲げ、根拠が乏しいとの付記がある。このスコアはアドバイザリーが述べる影響とずれているように見え、深刻度は確定していない。
出典：XenのアドバイザリーXSA-523、OffSeq Radar、AI Weekly。
OffSeq Radar（11月5日）とOstorlab（11月4日）は、公開されたエクスプロイトコードも、既知の悪用も、CISAのKEVカタログへの掲載もないと伝えている。Ostorlabは、ドメイン間のアクセスは被害側VMに目に見える痕跡を残さず、修正を適用しても過去に悪用されたかどうかは分からないと付け加えている。
Claudeはどんな役割を果たしたのか
アドバイザリーは、AnthropicがClaudeを使って発見し、Stephan Lipp氏（Ada Logics）が検証し、CodeAnt AI Security Researchチームが独立に報告したとしている。AI Weeklyによれば、修正にはAssisted-by: Claudeの表記があり、同誌の論評では、上流への開示で商用AIが認められた初の確認済みの事例だという。Anthropicは手法を公表しておらず（AI Weekly）、Claudeが指示なしで作業したのか人間と組んだのかは分からない。関連して、OpenAIのサイバーのパイプラインとLinuxカーネルの脆弱性に関する前回の記事も参照。
したがってClaudeが重大な脆弱性2件を見つけたという言い方には補足が要る。重大とは報道の言葉であり、アドバイザリーは読み取りと書き込みを述べ、人間が発見を検証し、修正は影響を受けるバージョンの一部にしかない。
未確定のこと
実際の深刻度、過去の悪用、影響を受けるアーキテクチャ、最初の報告の日付、クラウド事業者での修正状況、Claudeの手法と自律性。
比較表
| 項目 | 情報源が示すこと | 状態 |
|---|---|---|
| 影響 | ゲストが他ドメインのメモリを読み書きできる | Xenアドバイザリー |
| バージョン | 4.6以降すべて。修正はxen-unstableと4.17〜4.19のみ | Xenアドバイザリー |
| 緩和策 | 既知のものはない | Xenアドバイザリー |
| 深刻度 | 複数のメディアは重大、OffSeq RadarはCVSS 4.4 | 報道 |
| 悪用 | 公開エクスプロイトコードも既知の悪用もない | 報道 |
| 実際の深刻度、Claudeの自律性 | どの情報源も確定していない | 未確定 |
よくある質問
Claudeは単独で脆弱性を見つけたのか
分からない。人間の研究者が検証しており、Anthropicは手法を公表していない（AI Weekly）。
すべてのバージョンに修正はあるのか
ない。4.6〜4.16は脆弱で、修正がない。
脆弱性は悪用されているのか
OffSeq RadarとOstorlabは既知の悪用はないと伝えるが、アクセスは被害側VMに目に見える痕跡を残さない（Ostorlab）。
方法と限界
出典は2026年11月5日時点。事実はXenのアドバイザリーに基づき、ほかのメディアは出所を明示している。当社は何も検証しておらず、助言もしない。
