vCenter espone l’intera flotta con due flaw senza login
Una falla in vCenter non resta confinata al singolo server: apre una via sul piano di controllo che governa host, VM e amministrazione centrale. La lettura standard — patchare un componente — qui è troppo stretta; il punto è che chi entra in vCenter può allargare l’impatto a tutto l’ambiente che quel piano governa.
Broadcom e i CERT nazionali hanno pubblicato indicazioni coordinate per CVE-2026-59309 e CVE-2026-59310, entrambe critiche e sfruttabili da remoto senza autenticazione. La prima consente di eludere il login da rete; la seconda sfrutta il modo in cui il servizio syslog legge i file per far trattare al server l’input dell’attaccante come un comando. Al momento non risultano exploit o scanning in the wild.
Il rischio pratico resta il blast radius: un punto di ingresso sul management plane può tradursi in controllo su ESXi, inventario delle VM e amministrazione centralizzata. Per gli operatori di vSphere, Cloud Foundation e Telco Cloud, non è una semplice correzione di patch ma una soglia che separa un host esposto da una flotta governata da un unico punto di fiducia.