vCenter espone l’intera flotta con due flaw senza login
Una falla in vCenter non resta confinata al singolo server: apre una via sul piano di controllo che governa host, VM e amministrazione centrale. La lettura standard — patchare un componente — qui è troppo stretta; il punto è che chi entra in vCenter può allargare l’impatto a tutto l’ambiente che quel piano governa.
Broadcom e i CERT nazionali hanno pubblicato indicazioni coordinate per CVE-2026-59309 e CVE-2026-59310, entrambe critiche e sfruttabili da remoto senza autenticazione. La prima consente di eludere il login da rete; la seconda sfrutta il modo in cui il servizio syslog legge i file per far trattare al server l’input dell’attaccante come un comando. Al momento non risultano exploit o scanning in the wild.
Il rischio pratico resta il blast radius: un punto di ingresso sul management plane può tradursi in controllo su ESXi, inventario delle VM e amministrazione centralizzata. Per gli operatori di vSphere, Cloud Foundation e Telco Cloud, non è una semplice correzione di patch ma una soglia che separa un host esposto da una flotta governata da un unico punto di fiducia.
VMware fixes three critical flaws allowing auth bypass, VM escapes
Broadcom has released security updates to fix five vulnerabilities in VMware vCenter, ESX, Workstation, and Fusion, including three critical flaws that allow attackers to bypass authentication, execute arbitrary code, or escape from a virtual machine to the host.
Broadcom ha rilasciato aggiornamenti di sicurezza per risolvere alcune nuove vulnerabilità, di cui 3 con gravità “critica” e una con gravità “alta”, in vari prodotti della suite VMware.