Publicado en

Alerta Crítica en VMware: Tres Vulnerabilidades de Alta Gravedad Permiten el Control Total de Infraestructuras Virtuales

•Publicado enVulnerabilidades

Broadcom lanza parches de emergencia para corregir fallos en vCenter y ESXi

Broadcom ha emitido una actualización de seguridad urgente para abordar múltiples vulnerabilidades que afectan a las soluciones de virtualización más críticas de VMware, incluyendo ESX, vCenter, Workstation y Fusion. Tres de estos fallos han sido catalogados como críticos debido a su potencial para permitir el control total de los entornos empresariales.

Desglose de las vulnerabilidades críticas

Los fallos identificados representan un riesgo significativo para la integridad y confidencialidad de los datos alojados en infraestructuras virtuales. A continuación, detallamos los más relevantes:

  • CVE-2026-59309 (Puntuación CVSS: 9.8): Se trata de un bypass de autenticación en VMware vCenter. Un actor malicioso con acceso a la red podría explotar esta vulnerabilidad para obtener acceso no autorizado al sistema sin necesidad de credenciales válidas.
  • CVE-2026-59310 (Puntuación CVSS: 9.8): Un fallo de salto de directorio (directory traversal) en vCenter que permite a un atacante remoto ejecutar código arbitrario en el servidor afectado.
  • CVE-2026-47876 (Puntuación CVSS: 9.3): Un fallo de «escape de máquina virtual» en el adaptador de red virtual VMXNET3 de VMware ESX. Esto permite que un atacante con privilegios administrativos en una máquina virtual invitada ejecute código directamente en el host (el servidor físico), rompiendo el aislamiento fundamental de la virtualización.

Impacto empresarial y riesgo operativo

Para una organización, estas vulnerabilidades no son solo problemas técnicos; son riesgos de continuidad de negocio. Un atacante que logre comprometer el vCenter obtiene las «llaves del reino», pudiendo apagar, borrar o exfiltrar datos de cualquier máquina virtual en la red. El fallo de escape de VM es particularmente alarmante, ya que invalida la premisa de seguridad de que lo que sucede en una máquina virtual queda confinado en ella.

Aunque Broadcom ha informado que, hasta el momento, no hay evidencia de que estos fallos estén siendo explotados activamente por ciberdelincuentes, la ausencia de medidas de mitigación alternativas (workarounds) convierte la actualización de software en la única defensa efectiva.

Recomendaciones de Intedya

Desde el departamento de ciberseguridad de Intedya, instamos a los responsables de IT y CISO a priorizar estas actualizaciones de manera inmediata. Las versiones que corrigen estos fallos incluyen:

  • VMware vCenter 8.0 U3k
  • VMware Cloud Foundation y vSphere Foundation 9.1.0.0300 / 9.0.2.0100
  • Actualizaciones específicas para ESXi 8.0, Workstation y Fusion.

La gestión de vulnerabilidades es un pilar fundamental de la norma ISO/IEC 27001. Mantener los sistemas actualizados no solo protege los activos digitales, sino que asegura el cumplimiento normativo y la resiliencia organizacional ante un panorama de amenazas cada vez más sofisticado.

Fuentes