Alerta de Vulnerabilidades - VMware

5 vulnerabilidades no VMware vCenter Server, ESXi, Workstation e Fusion, divulgadas pela Broadcom no boletim de segurança VMSA-2026-0006.1 [1]. As vulnerabilidades afetam igualmente os produtos que integram estes componentes: VMware Cloud Foundation, vSphere Foundation, Telco Cloud Platform e Telco Cloud Infrastructure [1].

As vulnerabilidades identificadas são:

• CVE-2026-59310/EUVD-2026-51097 (CVSS - 9.8): path traversal (CWE-22) no servidor Syslog do VMware vCenter. Um atacante remoto sem autenticação com acesso de rede ao vCenter pode executar código arbitrário no sistema [1][2][3]. 
• CVE-2026-59309/EUVD-2026-51098 (CVSS - 9.8): bypass de autenticação no VMware Directory Service, utilizado pelo vCenter Server. Um atacante remoto sem autenticação com acesso de rede ao vCenter pode obter acesso não autorizado ao sistema de gestão [1][4][5].
• CVE-2026-47876/EUVD-2026-51105 (CVSS - 9.3): escrita fora dos limites (CWE-787) no adaptador de rede virtual VMXNET3 do VMware ESXi. Um atacante com privilégios administrativos numa máquina virtual com este adaptador pode executar código no host ESXi subjacente (VM escape). Máquinas virtuais sem adaptador VMXNET3 não são afetadas [1][6][7].
• CVE-2026-41703/EUVD-2026-51106 (CVSS - 7.6 no ESXi; 2.7 no Workstation e Fusion): leitura fora dos limites (CWE-125) no VMware ESXi, Workstation e Fusion. Um atacante com privilégios de implantação de máquinas virtuais pode obter divulgação de informação ou causar a interrupção do processo do host. No Workstation e Fusion, o impacto limita-se à divulgação de informação [1][8][9].
• CVE-2026-41709/EUVD-2026-51107 (CVSS - 2.7): registo insuficiente de operações no VMware ESXi. Um administrador malicioso pode executar operações sem que estas fiquem registadas nos logs de auditoria [1][10][11].

As vulnerabilidades CVE-2026-59310/EUVD-2026-51097 e CVE-2026-59309/EUVD-2026-51098, ambas sem requisito de autenticação, afetam o vCenter Server - a plataforma de gestão centralizada da infraestrutura VMware. O comprometimento do vCenter equivale ao controlo total sobre todos os hosts ESXi e máquinas virtuais por ele geridos [1].

Recomenda-se a atualização imediata para as versões corrigidas, tratando esta operação como uma mudança de emergência. Os patches são cumulativos: a versão mais recente para cada ramificação cobre todos os CVEs do boletim [1].

Versões corrigidas do vCenter (CVE-2026-59309 e CVE-2026-59310):
Ramificações 9.1.x: 9.1.0.0300; ramificações 9.0.x: 9.0.2.0100
vCenter 8.0: 8.0 U3k ou 8.0 U2f
VMware Cloud Foundation 5.x: patch assíncrono via KB88287; Telco Cloud: KB449886

Versões corrigidas do ESXi (CVE-2026-47876, CVE-2026-41703 e CVE-2026-41709):
Ramificações 9.1.x: ESXi-9.1.0.0200-25557999; ramificações 9.0.x: ESXi-9.0.2.0100-25595025
ESXi 8.0: ESXi80U3k-25595708 ou ESXi80U2f-25626445
VMware Cloud Foundation 5.x: 5.2.4

VMware Workstation e Fusion (CVE-2026-41703): atualizar a versão 25H2 para 26H1 [1].

Medidas adicionais recomendadas:

• Dado que o CVE-2026-59310 está a ser ativamente explorado, auditar os sistemas vCenter para identificar tarefas cron não autorizadas, ligações SSH de saída para infraestrutura externa e artefactos do framework reverse_ssh [12][13];
• O vCenter não deve ser acessível diretamente a partir da Internet; restringir o acesso à rede de gestão a endereços IP administrativos conhecidos, através de VPN ou VLAN de administração dedicada [1].

[1] - https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/38017
[2] - https://nvd.nist.gov/vuln/detail/CVE-2026-59310
[3] - https://euvd.enisa.europa.eu/vulnerability/CVE-2026-59310
[4] - https://nvd.nist.gov/vuln/detail/CVE-2026-59309
[5] - https://euvd.enisa.europa.eu/vulnerability/CVE-2026-59309
[6] - https://nvd.nist.gov/vuln/detail/CVE-2026-47876
[7] - https://euvd.enisa.europa.eu/vulnerability/CVE-2026-47876
[8] - https://nvd.nist.gov/vuln/detail/CVE-2026-41703
[9] - https://euvd.enisa.europa.eu/vulnerability/CVE-2026-41703
[10] - https://nvd.nist.gov/vuln/detail/CVE-2026-41709
[11] - https://euvd.enisa.europa.eu/vulnerability/CVE-2026-41709
[12] - https://www.bleepingcomputer.com/news/security/critical-vmware-vcenter-rce-flaw-exploited-for-reverse-ssh-access/
[13] - https://thehackernews.com/2026/08/attackers-exploit-vmware-vcenter.html