VMware ESX: fallo en los logs explotado, CVE-2026-41709 en KEV

El 28 de octubre de 2026 la CISA incluyó la CVE-2026-41709 en el catálogo Known Exploited Vulnerabilities (KEV). El catálogo la llama «Broadcom VMware ESX Insufficient Logging Vulnerability»: una vulnerabilidad de registro insuficiente en el hipervisor VMware ESX de Broadcom que, al entrar en el KEV, consta como explotada en ataques reales.

Para las agencias federales estadounidenses el plazo para intervenir es el 11 de noviembre de 2026. La ficha de la CVE en la base de datos NVD se publicó el 30 de julio de 2026 y se actualizó el 28 de octubre; por ahora NVD la indica como todavía en análisis.

Este artículo se basa en una sola fuente, la ficha del catálogo KEV con la descripción publicada en la base de datos NVD: la información que sigue es la que figura allí.

Qué ha pasado

Según la descripción publicada en la base de datos NVD, VMware ESX contiene una vulnerabilidad de registro insuficiente: un administrador malicioso podría aprovecharla para realizar determinadas operaciones sin que queden registradas en los logs.

La descripción no dice qué operaciones quedan fuera de los logs ni en qué condiciones. No se trata, por tanto, de un fallo que dé acceso al host: para explotarlo ya hacen falta privilegios de administrador. Su efecto es otro: lo que hace el administrador puede no dejar rastro en los registros en los que se basan los controles y las investigaciones.

Detalles técnicos

• CVE: CVE-2026-41709.
• Producto: Broadcom VMware ESX, como lo indica la fuente.
• Debilidad: CWE-778 (Insufficient Logging).
• Puntuación CVSS 3.1: 2.7 (baja), calculada por VMware: ataque desde la red, baja complejidad, privilegios altos, sin interacción del usuario, alcance sin cambios, sin impacto en confidencialidad y disponibilidad, impacto bajo en la integridad.
• Versiones afectadas y corregidas: la fuente no las indica; están en el aviso de seguridad de Broadcom citado por la ficha de NVD.
• Explotación: confirmada por la CISA con la inclusión en el catálogo KEV. El uso en campañas de ransomware, según la CISA, por ahora no se conoce.
• Cadena de ataque e indicadores: la fuente no describe cómo se ha explotado la vulnerabilidad ni indica técnicas MITRE ATT&CK o indicadores de compromiso.

La puntuación baja refleja que la vulnerabilidad, por sí sola, no da acceso a nada: hace falta una cuenta administrativa. Sin embargo, su inclusión en el KEV indica que se ha usado en ataques reales. En la acción requerida, la CISA remite también a sus propios requisitos de triaje forense.

Impacto para las empresas europeas e italianas

Un host ESX suele alojar muchas máquinas virtuales: servidores de aplicaciones, bases de datos y, a veces, controladores de dominio. Quien tiene sus privilegios de administrador actúa sobre todo lo que se ejecuta en él. Una vulnerabilidad que permite hacerlo, al menos en parte, sin dejar rastro en los logs afecta sobre todo a la capacidad de reconstruir los hechos después de un incidente.

Para las entidades sujetas a NIS2, la gestión rápida de las vulnerabilidades y el registro de los eventos forman parte de las medidas exigidas, y un compromiso debe evaluarse para su notificación al CSIRT nacional, que en Italia es el CSIRT Italia de la ACN. Lo mismo vale para los centros sanitarios que ejecutan sus sistemas en infraestructuras virtualizadas.

Qué hacer ya

1. Inventario: localiza todos los hosts VMware ESX, incluidos los gestionados por proveedores o en entornos de laboratorio, y compara las versiones con el aviso de Broadcom.
2. Actualiza: aplica las correcciones o mitigaciones indicadas por Broadcom. La CISA pide aplicar las mitigaciones del fabricante o, si no están disponibles, dejar de usar el producto.
3. Reduce la exposición: la CISA pide evaluar cuánto está expuesto a Internet cada sistema. Las interfaces de gestión de los hosts deberían ser accesibles solo desde la red de gestión.
4. Revisa las cuentas administrativas: para explotar la vulnerabilidad hacen falta privilegios altos. Comprueba quién tiene acceso como administrador a los hosts, elimina las cuentas que ya no se usan y sustituye las credenciales compartidas.
5. No te fíes solo de los logs del host: la vulnerabilidad afecta precisamente a lo que no se registra. Envía los logs de los hosts a un sistema externo y compáralos con otras fuentes, como los logs de la red, de los firewalls y de las consolas de gestión.
6. Busca señales de compromiso: si una cuenta administrativa de los hosts puede haber sido usada por otros, sigue las indicaciones de triaje forense y revisa configuraciones y máquinas virtuales aunque los logs no muestren actividad.

Cómo ayuda ARXDOME

ARX Sentry recoge logs y eventos de los servidores en los que está instalado el agente y los logs de los firewalls, incluidos los cambios en las cuentas y los accesos privilegiados: fuentes independientes del host con las que comparar lo que aparece, o no aparece, en sus registros. ARX Retain conserva los logs en almacenamiento europeo con bloqueo de objetos, que impide modificarlos o borrarlos. ARX Expose muestra qué servicios expone tu empresa en Internet y qué productos se reconocen en ellos, mientras que ARX Shield enumera las vulnerabilidades abiertas en las máquinas monitorizadas y destaca las que ya se están explotando. Con ARX Horizon puedes consultar desde el portal los detalles de las vulnerabilidades.

Última actualización: 28 de octubre de 2026