Агенцията за киберсигурност и сигурност на инфраструктурата (CISA) добави уязвимост в регистрирането на събития във VMware ESX към своя каталог с известни експлоатирани уязвимости (KEV) след доказателства за реална злоупотреба.
Проследявана като CVE-2026-41709, уязвимостта позволява на атакуващ с администраторски достъп да извършва определени операции, без тези действия да бъдат записвани в системните логове.
CISA добави уязвимостта на 28 октомври 2026 г. и определи 11 ноември 2026 г. като краен срок за отстраняване. Предупреждението повишава приоритета на слабост, която Broadcom оценява с ниска степен на сериозност, показвайки защо оценката на дадена уязвимост сама по себе си не трябва да определя решенията за инсталиране на корекции за сигурност.
Експлоатирана уязвимост в регистрирането на събития във VMware ESX
Според официалния запис за CVE проблемът попада в категорията CWE-778 (недостатъчно регистриране на събития). Broadcom му присъди оценка 2.7 по CVSS v3.1. Експлоатацията изисква високи привилегии, а публикуваното описание идентифицира злонамерен администратор като атакуващ.
Това не се описва като начин неавтентифициран атакуващ да получи първоначален достъп. Вместо това лице с администраторски права може да извършва определени действия, без да оставя очакваните регистрационни записи.
Тази празнина може да затрудни защитниците при възстановяване на активността по време на разследване на инцидент. Broadcom не е публикувала публичен списък със засегнатите конкретни операции.
Уязвимостта се появи в същия бюлетин за сигурност, отразен в доклада на Cybersecurity News относно критични уязвимости във VMware и заобикаляне на автентикацията CVE-2026-41709. Въпреки това проблемът с регистрирането на събития е отделен от по-сериозните уязвимости за заобикаляне на автентикацията и отдалечено изпълнение на код, включени в тази версия.
Бюлетинът за сигурност на Broadcom посочва коригираните версии на ESX като ESXi-9.1.0.0-25370933, ESXi-9.0.2.0100-25595025 и ESXi80U3j-25429389 за съответните клонове на изданията.
Клиентите на VMware Cloud Foundation 5.x трябва да обновят до версия 5.2.4, като използват указанията на доставчика за инсталиране на корекции. Засегнатите внедрявания включват също ESX компоненти в рамките на VMware Cloud Foundation и vSphere Foundation. За VMware Telco Cloud Platform 5.0.x и 5.1.x Broadcom насочва клиентите към KB449886.
Администраторите трябва да съпоставят своя инсталиран продукт и версия с матрицата за отговор в бюлетина, преди да приложат обновленията. Broadcom не предоставя алтернативни мерки (workaround) и отдава заслуги на изследователя Иън Бартън от CrowdStrike за докладването на слабостта.
Записът, предоставен от CISA, отбелязва използването от ransomware като неизвестно и посочва, че съдебният анализ (forensic triage) не се изисква по BOD 26-04 за този запис. Агенцията указва на организациите да следват препоръките на производителя за смекчаване на риска, да оценят експозицията в интернет и да прекратят използването на засегнатите продукти, ако не са налични мерки за защита.
Предишни доклади за уязвимости във VMware, експлоатирани при ransomware атаки, се отнасят до различни CVE и не трябва да се третират като доказателство, свързващо тази уязвимост със зловреден софтуер за откуп.
Непосредствената задача е да се идентифицират засегнатите ESX инсталации и да се приложат правилните корекции за сигурност. Ниската оценка на сериозност не отменя необходимостта от действия, след като вече е съобщено за реална експлоатация.