Descoberta e escopo
A Broadcom emitiu o advisory VMSA-2026-0006 cobrindo múltiplas falhas de alto impacto em vCenter, ESX, Workstation, Fusion, Cloud Foundation e plataformas Telco Cloud, com pontuações CVSSv3 variando de 2,7 a 9,8.
Vulnerabilidades críticas identificadas
A mais severa, CVE-2026-59309, é uma vulnerabilidade de bypass de autenticação no VMware Directory Service que permite a um atacante com acesso à rede contornar completamente a autenticação do vCenter e assumir o controle do plano de gerenciamento.
Uma falha companheira crítica, CVE-2026-59310, é um bug de traversia de diretório no servidor Syslog do vCenter que permite execução arbitrária de código, enquanto CVE-2026-47876 permite que uma máquina virtual maliciosa escape via adaptador VMXNET3 para executar código no próprio host ESX.
Impacto e alcance
Essas vulnerabilidades afetam infraestrutura de virtualização empresarial em escala global. O bypass de autenticação no vCenter representa risco direto para ambientes de produção que utilizam gerenciamento centralizado de máquinas virtuais.
Medidas de mitigação recomendadas
A Broadcom já liberou patches para todas as branches afetadas, incluindo vCenter 9.1.0.0300, 9.0.2.0100 e 8.0 U3k, junto com builds ESXi correspondentes.
- Prioridade máxima: Aplicar patches em instâncias vCenter expostas à internet ou intranet
- Sem workaround: Não existe solução alternativa para o bug de traversia de diretório
- Monitoramento: Verificar logs por atividades de autenticação suspeitas no vCenter
Implicações para CISOs
Equipes de segurança devem tratar essas falhas como críticas e priorizar a aplicação de patches imediatamente. A ausência de workaround para a traversia de diretório torna a atualização obrigatória para ambientes expostos.
Perguntas frequentes
Quais versões são afetadas? Todas as versões de vCenter, ESX, Workstation, Fusion, Cloud Foundation e Telco Cloud listadas no advisory.
Existe workaround temporário? Não para a traversia de diretório. Para bypass de autenticação, isolar vCenter da rede até aplicar patch.
Qual o risco de não atualizar? Controle total do plano de gerenciamento e execução de código no host ESX.