В продуктах VMware обнаружили пять уязвимостей, две из которых получили критические 9,8 балла из 10. Одна позволяет обойти вход в систему управления виртуальными машинами, другая даёт возможность запускать посторонний код. Исправления вышли ещё летом, но угроза оказалась серьёзнее первоначальных оценок.
Канадский центр кибербезопасности 30 июля предупредил об опасности для VMware vCenter, ESX, Workstation и Fusion, а также платформ Cloud Foundation, vSphere Foundation и решений для операторов связи. Основанием стал бюллетень Broadcom от 29 июля. Уязвимости затрагивают разные компоненты, поэтому последствия зависят от продукта и прав атакующего.
Самые опасные ошибки находятся в vCenter, через который администраторы управляют виртуальной инфраструктурой. CVE-2026-59309 позволяет обойти аутентификацию в VMware Directory Service и получить несанкционированный доступ. CVE-2026-59310 связана с обходом каталогов в сервере Syslog и открывает путь к удалённому исполнению кода. Для обеих атак достаточно сетевого доступа к vCenter.
Ещё одна критическая проблема, CVE-2026-47876 с оценкой 9,3 балла, затрагивает виртуальный сетевой адаптер VMXNET3 в ESX. Администратор гостевой виртуальной машины способен воспользоваться ошибкой записи за границами памяти и запустить код на физическом хосте. Для такого выхода за пределы виртуальной машины нужны локальные административные права внутри гостевой системы.
CVE-2026-41703 получила до 7,6 балла и связана с чтением памяти за допустимыми границами. В ESX злоумышленник с правом развёртывать виртуальные машины может вызвать утечку сведений или отказ обслуживающего процесса. В Workstation и Fusion последствия ограничены раскрытием информации, а оценка опасности составляет 2,7 балла.
Пятая ошибка, CVE-2026-41709, касается журналов событий ESX. Администратор со злонамеренными намерениями может выполнять отдельные операции, которые не попадут в логи. Такая слабость затрудняет расследование инцидентов, хотя сама по себе не предоставляет постороннему пользователю административный доступ к серверу.
Broadcom выпустила исправления для vCenter 8.0 U3k, 9.0.2.0100 и 9.1.0.0300, а также обновления ESX для поддерживаемых веток. Workstation и Fusion необходимо перевести на 26H1. Точные версии для остальных продуктов приведены в официальном бюллетене. Производитель не предложил обходных мер, которые могли бы заменить установку исправлений.
История получила продолжение в сентябре. Американское агентство CISA подтвердило использование CVE-2026-59310 операторами программ-вымогателей. Таким образом, речь уже не только о теоретической возможности взлома. Компаниям, использующим vCenter, требуется проверить установленные сборки и закрыть уязвимость, не полагаясь исключительно на сетевые ограничения.