Cinco vulnerabilidades en VMware: ciberextorsionistas ya explotan una; CISA confirma ataques mediante una falla en vCenter

Se detectaron cinco vulnerabilidades en productos de VMware, dos de las cuales recibieron una calificación crítica de 9,8 sobre 10. Una permite eludir el inicio de sesión en el sistema de gestión de máquinas virtuales; otra permite ejecutar código no autorizado. Las correcciones se publicaron ya en verano, pero la amenaza resultó más grave que las evaluaciones iniciales.

El Centro Canadiense de Ciberseguridad advirtió el 30 de julio sobre el peligro para VMware vCenter, ESX, Workstation y Fusion, así como para las plataformas Cloud Foundation, vSphere Foundation y las soluciones para operadores de telecomunicaciones. La advertencia se basó en el boletín de Broadcom del 29 de julio. Las vulnerabilidades afectan distintos componentes, por lo que las consecuencias dependen del producto y de los privilegios del atacante.

Los errores más peligrosos se encuentran en vCenter, desde donde los administradores gestionan la infraestructura virtual. CVE-2026-59309 permite eludir la autenticación en VMware Directory Service y obtener acceso no autorizado. CVE-2026-59310 está relacionada con la evasión de controles en el servidor Syslog y abre la puerta a la ejecución remota de código. Para ambos ataques basta con acceso de red a vCenter.

Otro problema crítico, CVE-2026-47876 con una puntuación de 9,3, afecta al adaptador de red virtual VMXNET3 en ESX. Un administrador de la máquina virtual invitada puede aprovechar un error de escritura fuera de los límites de memoria y ejecutar código en el host físico. Para ese escape de la máquina virtual se requieren privilegios administrativos locales dentro del sistema invitado.

CVE-2026-41703 recibió hasta 7,6 puntos y está relacionada con la lectura de memoria fuera de los límites permitidos. En ESX, un atacante con permisos para desplegar máquinas virtuales puede provocar una filtración de datos o la caída de un proceso de servicio. En Workstation y Fusion las consecuencias se limitan a la divulgación de información, con una puntuación de peligrosidad de 2,7.

La quinta falla, CVE-2026-41709, afecta a los registros de eventos de ESX. Un administrador con intenciones maliciosas puede realizar ciertas operaciones que no se registrarán en los registros. Esa debilidad dificulta la investigación de incidentes, aunque por sí sola no proporciona a un usuario externo acceso administrativo al servidor.

Broadcom publicó correcciones para vCenter 8.0 U3k, 9.0.2.0100 y 9.1.0.0300, así como actualizaciones de ESX para las ramas con soporte. Es necesario actualizar Workstation y Fusion a 26H1. Las versiones exactas para los demás productos aparecen en el boletín oficial. El fabricante no ofreció medidas alternativas que pudieran sustituir la instalación de las correcciones.

La historia continuó en septiembre. La agencia estadounidense CISA confirmó el uso de CVE-2026-59310 por parte de operadores de ransomware. Así, ya no se trata solo de una posibilidad teórica de intrusión. Las empresas que usan vCenter deben comprobar las compilaciones instaladas y corregir la vulnerabilidad, sin confiar únicamente en las restricciones de red.