VMware ESX: falla nei log sfruttata, CVE-2026-41709 nel KEV

Il 28 ottobre 2026 la CISA ha inserito la CVE-2026-41709 nel catalogo Known Exploited Vulnerabilities (KEV). Il catalogo la chiama «Broadcom VMware ESX Insufficient Logging Vulnerability»: una vulnerabilità di registrazione insufficiente nell’hypervisor VMware ESX di Broadcom, che con l’inserimento nel KEV risulta sfruttata in attacchi reali.

Per le agenzie federali statunitensi la scadenza per intervenire è l’11 novembre 2026. La scheda della CVE nel database NVD era stata pubblicata il 30 luglio 2026 ed è stata aggiornata il 28 ottobre; al momento NVD la indica come ancora in analisi.

Questo articolo si basa su una sola fonte, la scheda del catalogo KEV con la descrizione pubblicata nel database NVD: le informazioni che seguono sono quelle riportate lì.

Cosa è successo

Secondo la descrizione pubblicata nel database NVD, VMware ESX contiene una vulnerabilità di registrazione insufficiente: un amministratore malevolo potrebbe sfruttarla per compiere determinate operazioni senza che vengano registrate nei log.

La descrizione non dice quali operazioni restano fuori dai log, né in quali condizioni. Non si tratta quindi di una falla che apre l’accesso all’host: per sfruttarla servono già privilegi di amministratore. Il suo effetto è un altro: quello che l’amministratore fa può non lasciare traccia nei registri su cui si basano controlli e indagini.

Dettagli tecnici

• CVE: CVE-2026-41709.
• Prodotto: Broadcom VMware ESX, come indicato nella fonte.
• Debolezza: CWE-778 (Insufficient Logging).
• Punteggio CVSS 3.1: 2.7 (basso), calcolato da VMware: attacco dalla rete, bassa complessità, privilegi alti, nessuna interazione dell’utente, scope invariato, nessun impatto su riservatezza e disponibilità, impatto basso sull’integrità.
• Versioni colpite e corrette: la fonte non le riporta; sono nell’avviso di sicurezza di Broadcom citato dalla scheda NVD.
• Sfruttamento: confermato dalla CISA con l’inserimento nel catalogo KEV. L’uso in campagne ransomware, per la CISA, al momento non è noto.
• Catena di attacco e indicatori: la fonte non descrive come la vulnerabilità sia stata sfruttata, non indica tecniche MITRE ATT&CK né indicatori di compromissione.

Il punteggio basso riflette il fatto che la vulnerabilità, da sola, non dà accesso a niente: serve un account amministrativo. L’inserimento nel KEV dice però che è stata usata in attacchi reali. Nell’azione richiesta, la CISA richiama anche i propri requisiti di triage forense.

Impatto per le aziende europee e italiane

Un host ESX ospita di solito molte macchine virtuali: server applicativi, database, a volte controller di dominio. Chi ne ha i privilegi di amministratore agisce su tutto ciò che vi gira sopra. Una vulnerabilità che consente di farlo, almeno in parte, senza lasciare traccia nei log riguarda soprattutto la capacità di ricostruire i fatti dopo un incidente.

Per i soggetti che rientrano nella NIS2, la gestione tempestiva delle vulnerabilità e la registrazione degli eventi fanno parte delle misure richieste, e una compromissione va valutata per la notifica al CSIRT nazionale, che in Italia è lo CSIRT Italia dell’ACN. Lo stesso vale per le strutture sanitarie che fanno girare i propri sistemi su infrastrutture virtualizzate.

Cosa fare subito

1. Inventario: individua tutti gli host VMware ESX, compresi quelli gestiti da fornitori o in ambienti di laboratorio, e confronta le versioni con l’avviso di Broadcom.
2. Aggiorna: applica le correzioni o le mitigazioni indicate da Broadcom. La CISA chiede di applicare le mitigazioni del produttore o, se non sono disponibili, di smettere di usare il prodotto.
3. Riduci l’esposizione: la CISA chiede di valutare quanto ogni sistema sia esposto su Internet. Le interfacce di gestione degli host dovrebbero essere raggiungibili solo dalla rete di gestione.
4. Rivedi gli account amministrativi: per sfruttare la vulnerabilità servono privilegi alti. Controlla chi ha accesso come amministratore agli host, elimina gli account non più usati e sostituisci le credenziali condivise.
5. Non fidarti solo dei log dell’host: la vulnerabilità riguarda proprio ciò che non viene registrato. Invia i log degli host a un sistema esterno e confrontali con altre fonti, come i log della rete, dei firewall e delle console di gestione.
6. Cerca segni di compromissione: se un account amministrativo degli host potrebbe essere stato usato da altri, segui le indicazioni di triage forense e verifica configurazioni e macchine virtuali anche dove i log non mostrano attività.

Come aiuta ARXDOME

ARX Sentry raccoglie log ed eventi dei server su cui è installato l’agent e i log dei firewall, comprese le modifiche agli account e gli accessi privilegiati: fonti indipendenti dall’host con cui confrontare quello che risulta, o non risulta, nei suoi registri. ARX Retain conserva i log su storage europeo con il blocco degli oggetti, che impedisce di modificarli o cancellarli. ARX Expose mostra quali servizi la tua azienda espone su Internet e quali prodotti vi sono riconosciuti, mentre ARX Shield elenca le vulnerabilità aperte sulle macchine monitorate e mette in evidenza quelle già sfruttate. Con ARX Horizon puoi consultare dal portale i dettagli delle vulnerabilità.

Ultimo aggiornamento: 28 ottobre 2026