A quem se destina: pessoas que administram VMware ESX (ESXi) ou vCenter, incluindo equipes pequenas com poucos hosts, e quem gerencia uma plataforma de hospedagem ou de nuvem privada. Este artigo se baseia no aviso VMSA-2026-0006 da Broadcom, nos dados do catálogo da CISA, no registro do NVD e no relatório de uma empresa de segurança. Não trata de passos de ataque nem de código de exploração.
Em andamento: esta página será atualizada conforme mais informações forem publicadas
Em 30 de outubro de 2026Ainda não se sabe
- Quais operações a falha permite a um administrador ocultar (a Broadcom não dá detalhes)
- Quantas organizações foram afetadas além do relatório da empresa de segurança
- Se a CISA ou a Broadcom publicarão mais sobre a exploração
A Broadcom publicou o VMSA-2026-0006 em 29 de julho de 2026, com correções. A CISA incluiu a CVE-2026-41709 em seu catálogo KEV em 28 de outubro (horário dos EUA), com prazo de 11 de novembro, e não deu detalhes sobre a exploração.
Entrada: vCenter (CVE-2026-59309 / 59310)
Desvio de autenticação, execução de código. Correção: atualização do vCenter
Acesso de administrador em um host ESX
Veja contas, configurações de acesso, máquinas virtuais
Ocultação: registro do ESX (CVE-2026-41709)
Algumas operações não são registradas. Correção: atualização do ESX; guarde os logs em outro lugar
O que fazer hoje
Liste suas versões de ESX e vCenter
Anote o número de build de cada host e a versão do vCenter. Compare-os com os builds corrigidos nas tabelas abaixo. Hosts gerenciados por um provedor de serviços ou por um pacote de um fabricante de hardware precisam da confirmação dessa parte.
Planeje a atualização de todo o aviso
O prazo da CISA para as agências federais dos EUA é 11 de novembro. Aplique a correção do ESX e as do vCenter juntas, em vez de apenas a do ESX. As falhas do vCenter têm nota 9,8, e uma já estava listada como explorada em agosto.
Envie os logs para um servidor separado
Configure o syslog do ESXi e o syslog do vCenter para encaminhar a um servidor de logs que os administradores do hipervisor não possam editar. Isso não captura uma operação que a falha oculte, mas mantém os registros ao redor a salvo de exclusão e torna visível um trecho ausente (visão deste site).
Verifique comprometimento sem depender dos logs do host
Revise quais contas existem em cada host e no vCenter, se SSH ou o shell estão habilitados e quem os habilitou, máquinas virtuais que você não reconheça, pacotes de software que você não instalou e conexões da rede de gerenciamento que você não consiga explicar. Compare o histórico de tarefas e eventos do vCenter com os logs do próprio host e procure lacunas. Se encontrar algo, trate o host e o vCenter como comprometidos e veja como verificar se seu site ou servidor foi comprometido.
Limite quem pode alcançar o gerenciamento
Não há solução alternativa, então mantenha as interfaces de gerenciamento do ESX e do vCenter fora da internet, acessíveis apenas de uma rede de administração dedicada e protegidas por autenticação multifator onde estiver disponível.
Versões corrigidas
| Linha de produto | Corrigido para a CVE-2026-41709 |
|---|---|
| ESX 9.1 | ESXi-9.1.0.0-25370933 |
| ESX 9.0 | ESXi-9.0.2.0100-25595025 |
| ESX 8.0 | ESXi80U3j-25429389 (atualização 3j) |
| VMware Cloud Foundation 5.x | 5.2.4 |
| Telco Cloud Platform 5.0.x e 5.1.x | KB449886 |
O ESX 7.0 não está listado para esta CVE no aviso nem no registro do NVD. A Broadcom lista orientação para a 7.0 sobre as falhas críticas do mesmo aviso, disponível com um contrato de suporte estendido, então consulte o suporte da Broadcom se você usa a 7.0.
O mesmo aviso corrige o seguinte. Use o próprio aviso para os números de build da sua linha.
| CVE | Produto | Problema | CVSS | Corrigido (exemplos) |
|---|---|---|---|---|
| CVE-2026-59309 | vCenter | Desvio de autenticação | 9.8 | 9.1.0.0300, 9.0.2.0100, 8.0 U3k |
| CVE-2026-59310 | vCenter | Travessia de diretórios no servidor syslog, possível execução de código | 9.8 | Os mesmos builds do vCenter. No CISA KEV desde 18 de agosto |
| CVE-2026-47876 | ESX | Escrita fora dos limites no adaptador de rede VMXNET3, exige administrador local em uma VM | 9.3 | ESXi-9.1.0.0200-25557999, ESXi-9.0.2.0100-25595025, ESXi80U3k-25595708 |
| CVE-2026-41703 | ESX | Leitura fora dos limites, exige privilégios de implantação de VM | 7.6 | ESXi-9.1.0.0-25370933, ESXi-9.0.2.0100-25595025, ESXi80U3i-25205845 |
Observe que o build do ESX 8.0 que corrige a CVE-2026-41709 (atualização 3j) não é o mesmo que corrige a CVE-2026-47876 (atualização 3k). Passar para o build mais recente listado para a sua linha é a forma mais simples de cobrir todas, mas confirme cada CVE no aviso (visão deste site). Para a 8.0 U2f, o aviso lista um build separado para a CVE-2026-47876 (ESXi80U2f-25626445), mas não como correção da CVE-2026-41709, então consulte o aviso se você usa a U2f. O texto da Broadcom e um link de calculadora também divergem sobre o vetor CVSS da CVE-2026-47876.
O que foi divulgado
- CVE
- CVE-2026-41709, no aviso VMSA-2026-0006 da Broadcom
- Tipo
- Registro insuficiente (CWE-778 no catálogo da CISA)
- Gravidade
- CVSS v3.1 2.7, baixa (rede, privilégios altos exigidos, impacto baixo na integridade). Nota da Broadcom como fonte da CVE
- Impacto
- Um administrador mal-intencionado poderia realizar certas operações sem que elas fossem registradas. A Broadcom não diz quais
- Afetados
- ESX 9.1, 9.0 e 8.0; VMware Cloud Foundation 9.x e 5.x abaixo de 5.2.4; vSphere Foundation 9.x; Telco Cloud Platform 5.0.x e 5.1.x
- Corrigido
- Veja a tabela acima. Aviso datado de 29 de julho de 2026; o registro do NVD foi publicado em 30 de julho. Sem solução alternativa
- Relatado por
- A Broadcom credita um pesquisador de uma empresa de segurança
- Exploração conhecida
- Incluída no catálogo KEV da CISA em 28 de outubro de 2026 (horário dos EUA) como "Broadcom VMWare ESX Insufficient Logging Vulnerability". Prazo de 11 de novembro. Uso em ransomware: desconhecido. A entrada do catálogo não marca a triagem forense como obrigatória
O aviso dá poucos detalhes e as operações exatas não são públicas nas fontes que este site verificou. O que segue é a leitura deste site, não uma declaração do fabricante: como a falha exige acesso de administrador, ela é uma ferramenta para depois de uma invasão, e seu valor para um atacante é que os registros no host podem estar incompletos.
Exploração
O catálogo da CISA confirma a exploração, mas não dá detalhes sobre quem foi afetado nem como. O relatório de ameaças de 2026 de uma empresa de segurança sobre o setor jurídico, noticiado pela SecurityWeek em 29 de outubro, diz que um grupo ligado à China usou essa falha como dia zero em várias invasões a organizações dos EUA, incluindo alvos do setor jurídico, até o início de 2026, e a SecurityWeek descreve a finalidade como reduzir a visibilidade da trilha de auditoria. O relatório cobre a atividade de setembro de 2025 a agosto de 2026. A Broadcom credita um pesquisador da mesma empresa por relatar a falha. Este site não verificou os dados do relatório e não avalia quem está por trás da atividade. Trate-o como o relato de uma empresa.
Para quem defende, o ponto prático é o momento. A empresa descreve um uso até o início de 2026, meses antes da correção de 29 de julho. Um host que um atacante conseguia alcançar antes de ser corrigido pode ter sido afetado mesmo que agora esteja atualizado (visão deste site). Se seus hosts ou o vCenter estiveram expostos à internet ou a uma rede não confiável nesse período, verifique-os e não se limite a aplicar a correção.
O que ainda não se sabe
| Item | Situação |
|---|---|
| Quais operações não são registradas | Não informado pela Broadcom |
| Quantas organizações foram afetadas | Apenas o relato da empresa de segurança; não verificado |
| Uso em ransomware | A CISA indica como desconhecido |
| ESX 7.0 | Não listado para esta CVE; as falhas críticas do aviso têm orientação separada para a 7.0 |
Fontes
Consultadas em 30 de outubro de 2026 (revisão .2 do aviso da Broadcom, dados do catálogo da CISA, registro do NVD).
- Broadcom, "VMSA-2026-0006" (revisão .2, atualizada em 19 de agosto de 2026) — support.broadcom.com
- CISA, Known Exploited Vulnerabilities Catalog (entradas da CVE-2026-41709, incluída em 28 de outubro de 2026, e da CVE-2026-59310, incluída em 18 de agosto de 2026) — cisa.gov
- NVD, "CVE-2026-41709" — nvd.nist.gov
- Relatório sobre o panorama de ameaças ao setor jurídico em 2026 de uma empresa de segurança (resumo em blog, em inglês) — a página do relatório
- SecurityWeek, "Chinese Hackers Quietly Used Low-Severity ESXi Logging Flaw as Zero-Day" (29 de outubro de 2026) — securityweek.com
Histórico de atualizações
2026-10-30: Primeira versão, com base no VMSA-2026-0006 da Broadcom (revisão .2), na inclusão no KEV da CISA em 28 de outubro e no registro do NVD.
Leia a seguir
- Decidir a prioridade quando uma nota e uma inclusão em listas discordam: Como decidir o que corrigir primeiro: CVSS, EPSS e KEV
- Outros dispositivos de borda explorados neste mês: Vulnerabilidades exploradas em dispositivos de borda, meados de outubro de 2026
- Verificar um servidor: Como verificar se seu site ou servidor foi comprometido
- Quando uma vulnerabilidade é anunciada: Guia de correção de CVE
- Termos: O que é CVSS