Broadcom impedirebbe di scaricare le patch di sicurezza di VMware ai clienti con licenze perpetue

Alcuni clienti di VMware in possesso di licenze perpetue hanno denunciato l'impossibilità di scaricare aggiornamenti critici, poiché Broadcom ne starebbe precludendo l'accesso, nonostante le promesse di continuare a rendere disponibili gratuitamente le patch di sicurezza.

Broadcom impedirebbe l'accesso agli aggiornamenti critici

Come riportato da The Register, alcuni clienti di VMware si sono trovati impossibilitati a scaricare le patch per correggere le vulnerabilità presenti nel software installato sui propri sistemi.

Tali clienti non disporrebbero di un contratto di supporto attivo e sarebbero in possesso di licenze perpetue per i prodotti VMware. Broadcom aveva promesso ad aprile 2024, per bocca del CEO Hock Tan, "libero accesso alle patch di sicurezza per le vulnerabilità zero-day per le versioni supportate di vSphere", così che i clienti "potessero usare le licenze perpetue in maniera sicura."

Il problema nascerebbe dal fatto che, per poter scaricare le patch, è necessario collegarsi al portale del supporto di Broadcom; attualmente tale portale non offrirebbe alcuna patch per via di recenti cambiamenti che fanno sì che solo chi ha un contratto di supporto attivo possa scaricare aggiornamenti.

Secondo quanto riportato da alcuni clienti, Broadcom avrebbe affermato che potrebbero volerci fino a 90 giorni perché la situazione torni alla normalità e gli aggiornamenti tornino disponibili. Un rappresentante di Broadcom ha confermato che "poiché il nostro portale di supporto richiede la validazione del diritto dei clienti ad accedere alle patch del software, solo i clienti con tale diritto hanno accesso alle patch attualmente."

Broadcom non ha confermato pubblicamente né l'esistenza della problematica, né quando reintrodurrà la possibilità di scaricare le patch per i clienti che non sono dotati di un contratto di supporto. Solo nel 2025 sono state pubblicate 11 vulnerabilità, inclusa una che è stata annunciata la scorsa settimana e che consente a un attaccante che abbia ottenuto privilegi di amministratore in una macchina virtuale di eseguire codice sull'hypervisor, ovvero una delle situazioni peggiori possibili in un ambiente virtualizzato.

Va notato che, fino a poco tempo fa, quanto accadeva era l'opposto: chiunque poteva scaricare tutto, fatto che ha portato l'azienda a inviare lettere di diffida a clienti ed ex-clienti in possesso di licenze perpetue contro l'eventuale uso di aggiornamenti cui non avevano, in realtà, titolo. L'azienda sembra aver ora implementato un sistema di controllo che, però, non lascia spazio ai possessori di licenze perpetue. Com'è noto, in medio stat virtus, ma raggiungere questo punto di mezzo sembra complesso, anche per una società multimiliardaria dalla quale non ci si aspetta queste difficoltà nel controllare i requisiti.