VMware ESX: vulnerabilitate de jurnalizare exploatată (KEV)

Pe 28 octombrie 2026, CISA a inclus CVE-2026-41709 în catalogul Known Exploited Vulnerabilities (KEV). Catalogul o numește „Broadcom VMware ESX Insufficient Logging Vulnerability”: o vulnerabilitate de jurnalizare insuficientă în hipervizorul VMware ESX al Broadcom care, prin includerea în KEV, este confirmată ca exploatată în atacuri reale.

Pentru agențiile federale americane, termenul de remediere este 11 noiembrie 2026. Fișa CVE din baza de date NVD a fost publicată pe 30 iulie 2026 și actualizată pe 28 octombrie; deocamdată NVD o indică drept încă în analiză.

Acest articol se bazează pe o singură sursă, fișa din catalogul KEV împreună cu descrierea publicată în baza de date NVD: informațiile care urmează sunt cele raportate acolo.

Ce s-a întâmplat

Conform descrierii publicate în baza de date NVD, VMware ESX conține o vulnerabilitate de jurnalizare insuficientă: un administrator rău intenționat ar putea să o exploateze pentru a efectua anumite operațiuni fără ca acestea să fie înregistrate în loguri.

Descrierea nu spune ce operațiuni rămân în afara logurilor și nici în ce condiții. Nu este, așadar, o vulnerabilitate care deschide accesul la host: pentru a o exploata ai nevoie deja de privilegii de administrator. Efectul ei este altul: ce face administratorul poate să nu lase nicio urmă în jurnalele pe care se bazează controalele și investigațiile.

Detalii tehnice

• CVE: CVE-2026-41709.
• Produs: Broadcom VMware ESX, așa cum este indicat în sursă.
• Slăbiciune: CWE-778 (Insufficient Logging).
• Scor CVSS 3.1: 2.7 (scăzut), calculat de VMware: atac prin rețea, complexitate scăzută, privilegii ridicate, fără interacțiunea utilizatorului, scope neschimbat, fără impact asupra confidențialității și disponibilității, impact scăzut asupra integrității.
• Versiuni afectate și corectate: sursa nu le indică; se găsesc în avizul de securitate Broadcom citat în fișa NVD.
• Exploatare: confirmată de CISA prin includerea în catalogul KEV. Folosirea în campanii ransomware, potrivit CISA, nu este cunoscută deocamdată.
• Lanț de atac și indicatori: sursa nu descrie cum a fost exploatată vulnerabilitatea și nu indică tehnici MITRE ATT&CK sau indicatori de compromitere.

Scorul scăzut reflectă faptul că vulnerabilitatea, singură, nu oferă acces la nimic: este nevoie de un cont administrativ. Includerea în KEV arată însă că a fost folosită în atacuri reale. În acțiunea cerută, CISA face trimitere și la propriile cerințe de triaj criminalistic.

Impactul pentru companiile europene și italiene

Un host ESX găzduiește de obicei multe mașini virtuale: servere de aplicații, baze de date, uneori controlere de domeniu. Cine are privilegiile de administrator ale hostului acționează asupra a tot ce rulează pe el. O vulnerabilitate care permite acest lucru, cel puțin parțial, fără urme în loguri afectează mai ales capacitatea de a reconstitui faptele după un incident.

Pentru entitățile care intră sub incidența NIS2, gestionarea la timp a vulnerabilităților și înregistrarea evenimentelor fac parte din măsurile cerute, iar o compromitere trebuie evaluată în vederea notificării către CSIRT-ul național, care în Italia este CSIRT Italia din cadrul ACN. Același lucru este valabil pentru unitățile sanitare care își rulează sistemele pe infrastructuri virtualizate.

Ce să faci imediat

1. Inventar: identifică toate hosturile VMware ESX, inclusiv cele gestionate de furnizori sau din mediile de test, și compară versiunile cu avizul Broadcom.
2. Actualizează: aplică corecțiile sau măsurile de atenuare indicate de Broadcom. CISA cere aplicarea măsurilor de atenuare ale producătorului sau, dacă nu sunt disponibile, încetarea utilizării produsului.
3. Redu expunerea: CISA cere evaluarea gradului de expunere la internet a fiecărui sistem. Interfețele de administrare ale hosturilor ar trebui să fie accesibile doar din rețeaua de management.
4. Verifică conturile administrative: pentru exploatarea vulnerabilității sunt necesare privilegii ridicate. Verifică cine are acces de administrator la hosturi, șterge conturile care nu mai sunt folosite și înlocuiește credențialele partajate.
5. Nu te baza doar pe logurile hostului: vulnerabilitatea privește exact ceea ce nu este înregistrat. Trimite logurile hosturilor către un sistem extern și compară-le cu alte surse, cum ar fi logurile rețelei, ale firewallurilor și ale consolelor de administrare.
6. Caută semne de compromitere: dacă un cont de administrator al hosturilor ar fi putut fi folosit de altcineva, urmează indicațiile de triaj criminalistic și verifică configurațiile și mașinile virtuale chiar și acolo unde logurile nu arată activitate.

Cum te ajută ARXDOME

ARX Sentry colectează loguri și evenimente de pe serverele pe care este instalat agentul și logurile firewallurilor, inclusiv modificările conturilor și accesele privilegiate: surse independente de host cu care poți compara ce apare, sau nu apare, în jurnalele lui. ARX Retain păstrează logurile pe stocare europeană cu blocarea obiectelor, care împiedică modificarea sau ștergerea lor. ARX Expose arată ce servicii expune compania ta pe internet și ce produse sunt recunoscute pe ele, iar ARX Shield listează vulnerabilitățile deschise pe mașinile monitorizate și le evidențiază pe cele deja exploatate. Cu ARX Horizon poți consulta din portal detaliile vulnerabilităților.

Ultima actualizare: 28 octombrie 2026