Broadcom rilascia patch per cinque vulnerabilità in prodotti VMware, di cui tre definite "critiche"

Broadcom ha rilasciato aggiornamenti per correggere cinque vulnerabilità presenti in VMware vCenter, ESX, Workstation e Fusion, di cui tre definite "critiche" che consentono di aggirare l'autenticazione, eseguire codice arbitrario e saltare dalla macchina virtuale a quella ospitante.

Cinque nuove vulnerabilità per VMware, di cui tre critiche

Le vulnerabilità annunciate hanno ricevuto un numero CVE e hanno livelli di gravità che vanno da basso a critico. Nello specifico, si tratta delle seguenti:

• CVE-2026-59309 (punteggio 9.8): una vulnerabilità di aggiramento dell'autenticazione nel VMware Directory Service; un attaccante con accesso di rete a vCenter può sfruttare la falla per ottenere accesso non autorizzato al sistema;
• CVE-2026-59310 (punteggio 9.8): una vulnerabilità di attraversamento della directory nel server vCenter Syslog che consente di eseguire codice arbitrario a un attaccante non autenticato con accesso di rete alla macchina;
• CVE-2026-47876 (punteggio 9.3): vulnerabilità di scrittura out of bounds nell'adattatore di rete VMXNET3, che consente a un attaccante con privilegi di amministratore in una macchina virtuale di ottenere accesso alla macchina ospitante con ESX;
• CVE-2026-41703 (punteggio 7.6 per ESX, 2.7 per Workstation e Fusion): una vulnerabilità di lettura out of bounds che consente a un attaccante con privilegi di creazione di una macchina virtuale di ottenere informazioni o creare una condizione d'interruzione del servizio. Su Workstation e Fusion è presente solo la possibilità di ottenere informazioni;
• CVE-2026-41709 (punteggio 2.7): questa vulnerabilità fa sì che sia possibile creare una macchina virtuale dalla riga di comando senza che questa sia visibile dall'interfaccia grafica o che risulti dai log.

Le vulnerabilità annunciate da Broadcom riguardano tutti i prodotti che contengono vCenter o ESX, e dunque anche VMware Cloud Foundation, VMware vSphere Foundation, VMware Telco Cloud Platform e VMware Telco Cloud Infrastructure.

Le versioni che contengono le patch, come comunicato da Broadcom, sono le seguenti:

• vCenter: 9.1.0.0300, 9.0.2.0100 e 8.0 Update 3k;
• ESX: 9.1.0.0200, 9.0.2.0100 e 8.0 Update 3k;
• VMware Cloud Foundation e vSphere Foundation: 9.1.0.0300, 9.0.2.0100;
• VMware Workstation e Fusion: 26H1.

Broadcom fa notare come l'applicazione delle patch comporti l'impossibilità attuale di effettuare il passaggio a VMware Cloud Foundation e vSphere Foundation 9.0 e 9.1 da versioni precedenti. Secondo l'azienda, "si presenta una restrizione "back in time" quando una patch aggiorna un prodotto a un ramo che detiene un numero di build più nuovo rispetto a quello dell'aggiornamento desiderato." Il problema sarà corretto in una versione successiva del software.

Secondo Broadcom non ci sono attualmente notizie circa lo sfruttamento di queste vulnerabilità, ma l'azienda invita comunque ad applicare le patch immediatamente per prevenire qualunque problema.