A quién va dirigido: personas que gestionan VMware ESX (ESXi) o vCenter, incluidos equipos pequeños con pocos hosts, y quien administre una plataforma de alojamiento o de nube privada. Este artículo se basa en el aviso VMSA-2026-0006 de Broadcom, los datos del catálogo de CISA, el registro de NVD y el informe de una empresa de seguridad. No trata pasos de ataque ni código de explotación.
En desarrollo: esta página se actualizará conforme se publique más información
A fecha del 30 de octubre de 2026Aún no se sabe
- Qué operaciones permite ocultar el fallo a un administrador (Broadcom no da detalles)
- Cuántas organizaciones se vieron afectadas más allá del informe de la empresa de seguridad
- Si CISA o Broadcom publicarán más sobre la explotación
Broadcom publicó VMSA-2026-0006 el 29 de julio de 2026, con correcciones. CISA añadió CVE-2026-41709 a su catálogo KEV el 28 de octubre (hora de EE. UU.), con fecha límite del 11 de noviembre, y no dio detalles sobre la explotación.
Entrada: vCenter (CVE-2026-59309 / 59310)
Omisión de autenticación, ejecución de código. Corrección: actualización de vCenter
Acceso de administrador en un host ESX
Revise cuentas, ajustes de acceso, máquinas virtuales
Ocultación: registro de ESX (CVE-2026-41709)
Algunas operaciones no se registran. Corrección: actualización de ESX; guarde los registros en otro sitio
Qué hacer hoy
Haga una lista de sus versiones de ESX y vCenter
Anote el número de compilación de cada host y la versión de vCenter. Compárelos con las compilaciones corregidas de las tablas siguientes. Los hosts gestionados por un proveedor de servicios o por un paquete de un fabricante de hardware necesitan la confirmación de esa parte.
Planifique la actualización de todo el aviso
La fecha límite de CISA para las agencias federales de EE. UU. es el 11 de noviembre. Aplique la corrección de ESX y las de vCenter a la vez, en lugar de solo la de ESX. Los fallos de vCenter tienen 9,8, y uno ya figuraba como explotado en agosto.
Envíe los registros a un servidor aparte
Configure el syslog de ESXi y el syslog de vCenter para que reenvíen a un servidor de registros que los administradores del hipervisor no puedan editar. Esto no captura una operación que el fallo oculte, pero mantiene a salvo de borrado los registros circundantes y hace visible un tramo ausente (opinión de este sitio).
Compruebe si hubo compromiso sin depender de los registros del host
Revise qué cuentas existen en cada host y en vCenter, si SSH o el shell están activados y quién los activó, máquinas virtuales que no reconozca, paquetes de software que no instaló y conexiones desde la red de gestión que no pueda explicar. Compare el historial de tareas y eventos de vCenter con los registros del propio host y busque lagunas. Si encuentra algo, trate el host y vCenter como comprometidos y consulte cómo comprobar si su sitio web o servidor fue comprometido.
Limite quién puede llegar a la gestión
No hay solución alternativa, así que mantenga las interfaces de gestión de ESX y vCenter fuera de internet, accesibles solo desde una red de administración dedicada y protegidas con autenticación multifactor donde esté disponible.
Versiones corregidas
| Línea de producto | Corregido para CVE-2026-41709 |
|---|---|
| ESX 9.1 | ESXi-9.1.0.0-25370933 |
| ESX 9.0 | ESXi-9.0.2.0100-25595025 |
| ESX 8.0 | ESXi80U3j-25429389 (actualización 3j) |
| VMware Cloud Foundation 5.x | 5.2.4 |
| Telco Cloud Platform 5.0.x y 5.1.x | KB449886 |
ESX 7.0 no figura para este CVE ni en el aviso ni en el registro de NVD. Broadcom sí da indicaciones para 7.0 sobre los fallos críticos del mismo aviso, disponibles con un contrato de soporte ampliado, así que consulte al soporte de Broadcom si usa 7.0.
El mismo aviso corrige lo siguiente. Use el propio aviso para los números de compilación de su línea.
| CVE | Producto | Problema | CVSS | Corregido (ejemplos) |
|---|---|---|---|---|
| CVE-2026-59309 | vCenter | Omisión de autenticación | 9.8 | 9.1.0.0300, 9.0.2.0100, 8.0 U3k |
| CVE-2026-59310 | vCenter | Recorrido de directorios en el servidor syslog, posible ejecución de código | 9.8 | Las mismas compilaciones de vCenter. En CISA KEV desde el 18 de agosto |
| CVE-2026-47876 | ESX | Escritura fuera de límites en el adaptador de red VMXNET3, requiere administrador local en una VM | 9.3 | ESXi-9.1.0.0200-25557999, ESXi-9.0.2.0100-25595025, ESXi80U3k-25595708 |
| CVE-2026-41703 | ESX | Lectura fuera de límites, requiere privilegios de despliegue de VM | 7.6 | ESXi-9.1.0.0-25370933, ESXi-9.0.2.0100-25595025, ESXi80U3i-25205845 |
Tenga en cuenta que la compilación de ESX 8.0 que corrige CVE-2026-41709 (actualización 3j) no es la misma que corrige CVE-2026-47876 (actualización 3k). Pasar a la última compilación indicada para su línea es la forma más sencilla de cubrirlos todos, pero confirme cada CVE con el aviso (opinión de este sitio). Para 8.0 U2f, el aviso indica una compilación aparte para CVE-2026-47876 (ESXi80U2f-25626445) pero no como corrección de CVE-2026-41709, así que consulte el aviso si usa U2f. El texto de Broadcom y un enlace a la calculadora tampoco coinciden en el vector CVSS de CVE-2026-47876.
Qué se ha divulgado
- CVE
- CVE-2026-41709, en el aviso VMSA-2026-0006 de Broadcom
- Tipo
- Registro insuficiente (CWE-778 en el catálogo de CISA)
- Gravedad
- CVSS v3.1 2.7, bajo (red, privilegios altos requeridos, impacto bajo en la integridad). Puntuación de Broadcom como fuente del CVE
- Impacto
- Un administrador malintencionado podría realizar ciertas operaciones sin que queden registradas. Broadcom no dice cuáles
- Afectados
- ESX 9.1, 9.0 y 8.0; VMware Cloud Foundation 9.x y 5.x por debajo de 5.2.4; vSphere Foundation 9.x; Telco Cloud Platform 5.0.x y 5.1.x
- Corregido
- Véase la tabla anterior. Aviso con fecha del 29 de julio de 2026; el registro de NVD se publicó el 30 de julio. Sin solución alternativa
- Notificado por
- Broadcom reconoce a un investigador de una empresa de seguridad
- Explotación conocida
- Añadido al catálogo KEV de CISA el 28 de octubre de 2026 (hora de EE. UU.) como "Broadcom VMWare ESX Insufficient Logging Vulnerability". Fecha límite 11 de noviembre. Uso en ransomware: desconocido. La entrada del catálogo no marca como obligatorio el triaje forense
El aviso da pocos detalles y las operaciones exactas no son públicas en las fuentes que este sitio consultó. Lo que sigue es la lectura de este sitio, no una declaración del fabricante: como el fallo requiere acceso de administrador, es una herramienta para después de una intrusión, y su valor para un atacante es que los registros del host pueden estar incompletos.
Explotación
El catálogo de CISA confirma la explotación pero no da detalles sobre quién se vio afectado ni cómo. El informe de amenazas de 2026 de una empresa de seguridad sobre el sector jurídico, del que SecurityWeek informó el 29 de octubre, dice que un grupo vinculado a China usó este fallo como día cero en varias intrusiones en organizaciones de EE. UU., incluidos objetivos del sector jurídico, hasta principios de 2026, y SecurityWeek describe la finalidad como reducir la visibilidad del rastro de auditoría. El informe cubre la actividad de septiembre de 2025 a agosto de 2026. Broadcom reconoce a un investigador de la misma empresa por haber notificado el fallo. Este sitio no ha verificado los datos del informe y no valora quién está detrás de la actividad. Trátelo como el relato de una empresa.
Para quien defiende, lo práctico es el momento. La empresa describe un uso hasta principios de 2026, meses antes de la corrección del 29 de julio. Un host al que un atacante pudo llegar antes de aplicar la corrección puede haber sido afectado aunque ahora esté actualizado (opinión de este sitio). Si sus hosts o vCenter estuvieron expuestos a internet o a una red no confiable en ese periodo, revíselos y no se limite a aplicar la corrección.
Lo que aún no se sabe
| Elemento | Estado |
|---|---|
| Qué operaciones no se registran | Broadcom no lo indica |
| Cuántas organizaciones se vieron afectadas | Solo el relato de la empresa de seguridad; sin verificar |
| Uso en ransomware | CISA lo indica como desconocido |
| ESX 7.0 | No figura para este CVE; los fallos críticos del aviso tienen indicaciones aparte para 7.0 |
Fuentes
Consultadas el 30 de octubre de 2026 (revisión .2 del aviso de Broadcom, datos del catálogo de CISA, registro de NVD).
- Broadcom, "VMSA-2026-0006" (revisión .2, actualizada el 19 de agosto de 2026) — support.broadcom.com
- CISA, Known Exploited Vulnerabilities Catalog (entradas de CVE-2026-41709, añadida el 28 de octubre de 2026, y de CVE-2026-59310, añadida el 18 de agosto de 2026) — cisa.gov
- NVD, "CVE-2026-41709" — nvd.nist.gov
- Informe sobre el panorama de amenazas al sector jurídico en 2026 de una empresa de seguridad (resumen en blog, en inglés) — la página del informe
- SecurityWeek, "Chinese Hackers Quietly Used Low-Severity ESXi Logging Flaw as Zero-Day" (29 de octubre de 2026) — securityweek.com
Historial de actualizaciones
2026-10-30: Primera versión, basada en VMSA-2026-0006 de Broadcom (revisión .2), la inclusión en KEV de CISA del 28 de octubre y el registro de NVD.
Lectura recomendada
- Decidir la prioridad cuando una puntuación y una inclusión en listas no coinciden: Cómo decidir qué parchear primero: CVSS, EPSS y KEV
- Otros dispositivos perimetrales explotados este mes: Vulnerabilidades explotadas en dispositivos perimetrales, mediados de octubre de 2026
- Revisar un servidor: Cómo comprobar si su sitio web o servidor fue comprometido
- Cuando se anuncia una vulnerabilidad: Guía de corrección de CVE
- Términos: Qué es CVSS