Broadcom tiene liberado actualizaciones de seguridad para abordar múltiples fallas de seguridad que afectan a VMware ESX, vCenter, Workstation y Fusion, tres de las cuales han sido designadas como críticas en cuanto a su gravedad.
El primero de los tres defectos calificados como críticos es CVE-2026-59309 (Puntuación CVSS: 9,8), que se ha descrito como una omisión de autenticación en VMware vCenter.
«Un actor malicioso con acceso a la red de vCenter puede aprovechar este problema para eludir la autenticación y obtener acceso no autorizado al sistema», dijo Broadcom.
El segundo defecto crítico es una vulnerabilidad de cruce de directorios en vCenter (CVE-2026-59310puntuación CVSS: 9,8) que un actor malintencionado con acceso a la red puede aprovechar para ejecutar código arbitrario. Ambas vulnerabilidades se han solucionado en las siguientes versiones:
- VMware Cloud Foundation, VMware vSphere Foundation versiones 9.1.xx (corregido en 9.1.0.0300)
- VMware Cloud Foundation, VMware vSphere Foundation versiones 9.0.xx (corregido en 9.0.2.0100)
- VMware vCenter versión 8.0 (Corregido en 8.0 U3k)
- VMware Cloud Foundation versiones 5.x (parche asíncrono a 8.0 U3k)
Broadcom también corrigió otras tres fallas:
- CVE-2026-47876 (Puntuación CVSS: 9,3): una vulnerabilidad de escritura fuera de límites en el adaptador de red virtual VMXNET3 de VMware ESX que un actor malintencionado con privilegios administrativos locales en una máquina virtual puede aprovechar para ejecutar código en el host. (Corregido en las versiones ESXi-9.1.0.0200-25557999 y ESXi-9.0.2.0100-25595025 de VMware Cloud Foundation y VMware vSphere Foundation, y VMware ESX ESXi80U3k-25595708)
- CVE-2026-41703 (Puntuación CVSS: 7,6): una vulnerabilidad de lectura fuera de límites en VMware ESX que un actor malintencionado con privilegios de implementación de VM podría desencadenar, lo que podría provocar la divulgación de información o una condición de denegación de servicio (DoS). En VMware Workstation y Fusion, el impacto se limita a la divulgación de información. (Corregido en las versiones de VMware Cloud Foundation y VMware vSphere Foundation ESXi-9.1.0.0-25370933 y ESXi-9.0.2.0100-25595025, VMware ESX ESXi80U3i-25205845, VMware Workstation 26H1, VMware Fusion 26H1 y VMware Cloud Foundation 5.2.3)
- CVE-2026-41709 (Puntuación CVSS: 2,7): una vulnerabilidad de registro insuficiente en VMware ESX que un administrador malintencionado puede aprovechar para realizar determinadas operaciones sin que se registren. (Corregido en las versiones ESXi-9.1.0.0-25370933 y ESXi-9.0.2.0100-25595025 de VMware Cloud Foundation y VMware vSphere Foundation, y VMware ESX ESXi80U3j-25429389)
Broadcom señaló que no ha encontrado evidencia que sugiera que alguno de estos problemas haya sido explotado en la naturaleza. El gigante tecnológico también caracterizó a CVE-2026-47876 como un escape de máquina virtual.
«Un atacante que ya posee privilegios administrativos locales dentro de una máquina virtual que utiliza el adaptador de red virtual VMXNET3 puede ejecutar código en el host ESX», indica. dicho.
