Для кого: для тех, кто эксплуатирует VMware ESX (ESXi) или vCenter, включая небольшие команды с несколькими хостами, и для всех, кто управляет платформой хостинга или частного облака. Статья основана на бюллетене Broadcom VMSA-2026-0006, данных каталога CISA, записи NVD и отчёте одной компании по безопасности. Она не описывает шаги атаки или код эксплойта.
В развитии: эта страница будет обновляться по мере публикации новых данных
По состоянию на 30 октября 2026 годаПока неизвестно
- Какие операции позволяет скрыть администратору эта уязвимость (Broadcom подробностей не даёт)
- Сколько организаций пострадало помимо отчёта компании по безопасности
- Опубликуют ли CISA или Broadcom больше сведений об эксплуатации
Broadcom опубликовала VMSA-2026-0006 29 июля 2026 года с исправлениями. CISA добавила CVE-2026-41709 в каталог KEV 28 октября (по времени США) со сроком 11 ноября и не привела подробностей об эксплуатации.
Вход: vCenter (CVE-2026-59309 / 59310)
Обход аутентификации, выполнение кода. Исправление: обновление vCenter
Доступ администратора на хосте ESX
Посмотрите учётные записи, настройки доступа, виртуальные машины
Сокрытие: журналирование ESX (CVE-2026-41709)
Некоторые операции не записываются. Исправление: обновление ESX; храните журналы в другом месте
Что делать сегодня
Составьте список версий ESX и vCenter
Запишите номер сборки каждого хоста и версию vCenter. Сравните их с исправленными сборками в таблицах ниже. Хосты, которыми управляет поставщик услуг или пакет производителя оборудования, требуют подтверждения от этой стороны.
Запланируйте обновление по всему бюллетеню
Срок CISA для федеральных агентств США — 11 ноября. Применяйте исправление ESX и исправления vCenter вместе, а не только ESX. Уязвимости vCenter оценены в 9,8, и одна из них ещё в августе была внесена в список эксплуатируемых.
Отправляйте журналы на отдельный сервер
Настройте пересылку syslog ESXi и syslog vCenter на сервер журналов, который администраторы гипервизора не могут редактировать. Это не запишет операцию, которую скрывает уязвимость, но убережёт окружающие записи от удаления и сделает пропущенный промежуток заметным (мнение этого сайта).
Проверьте компрометацию, не полагаясь на журналы хоста
Просмотрите, какие учётные записи существуют на каждом хосте и в vCenter, включены ли SSH или оболочка и кто их включил, виртуальные машины, которых вы не узнаёте, программные пакеты, которые вы не устанавливали, и подключения из сети управления, которые вы не можете объяснить. Сравните историю задач и событий vCenter с собственными журналами хоста и поищите пробелы. Если что-то найдёте, считайте хост и vCenter скомпрометированными и см. как проверить, не был ли взломан ваш сайт или сервер.
Ограничьте круг тех, кто может достучаться до управления
Обходного решения нет, поэтому держите интерфейсы управления ESX и vCenter вне интернета, доступными только из выделенной административной сети и защищёнными многофакторной аутентификацией, где она есть.
Исправленные версии
| Линейка продукта | Исправлено для CVE-2026-41709 |
|---|---|
| ESX 9.1 | ESXi-9.1.0.0-25370933 |
| ESX 9.0 | ESXi-9.0.2.0100-25595025 |
| ESX 8.0 | ESXi80U3j-25429389 (обновление 3j) |
| VMware Cloud Foundation 5.x | 5.2.4 |
| Telco Cloud Platform 5.0.x и 5.1.x | KB449886 |
ESX 7.0 для этой CVE не указан ни в бюллетене, ни в записи NVD. Broadcom приводит рекомендации по 7.0 для критических уязвимостей в том же бюллетене, доступные по договору расширенной поддержки, поэтому если вы используете 7.0, обратитесь в поддержку Broadcom.
Тот же бюллетень исправляет следующее. Номера сборок для вашей линейки смотрите в самом бюллетене.
| CVE | Продукт | Проблема | CVSS | Исправлено (примеры) |
|---|---|---|---|---|
| CVE-2026-59309 | vCenter | Обход аутентификации | 9.8 | 9.1.0.0300, 9.0.2.0100, 8.0 U3k |
| CVE-2026-59310 | vCenter | Обход каталога в сервере syslog, возможно выполнение кода | 9.8 | Те же сборки vCenter. В CISA KEV с 18 августа |
| CVE-2026-47876 | ESX | Запись за границами в сетевом адаптере VMXNET3, нужны права локального администратора на ВМ | 9.3 | ESXi-9.1.0.0200-25557999, ESXi-9.0.2.0100-25595025, ESXi80U3k-25595708 |
| CVE-2026-41703 | ESX | Чтение за границами, нужны права на развёртывание ВМ | 7.6 | ESXi-9.1.0.0-25370933, ESXi-9.0.2.0100-25595025, ESXi80U3i-25205845 |
Обратите внимание, что сборка ESX 8.0, исправляющая CVE-2026-41709 (обновление 3j), не совпадает со сборкой, исправляющей CVE-2026-47876 (обновление 3k). Переход на последнюю из перечисленных сборок для вашей линейки — самый простой способ охватить все, но сверьте каждую CVE с бюллетенем (мнение этого сайта). Для 8.0 U2f бюллетень приводит отдельную сборку для CVE-2026-47876 (ESXi80U2f-25626445), но не как исправление CVE-2026-41709, поэтому если у вас U2f, сверьтесь с бюллетенем. Кроме того, текст Broadcom и ссылка на калькулятор расходятся по вектору CVSS для CVE-2026-47876.
Что раскрыто
- CVE
- CVE-2026-41709, в бюллетене Broadcom VMSA-2026-0006
- Тип
- Недостаточное журналирование (CWE-778 в каталоге CISA)
- Серьёзность
- CVSS v3.1 2.7, Low (сеть, нужны высокие права, низкое влияние на целостность). Оценка от Broadcom как источника CVE
- Влияние
- Злонамеренный администратор может выполнять определённые операции так, что они не попадают в журнал. Broadcom не говорит, какие именно операции
- Затронуто
- ESX 9.1, 9.0 и 8.0; VMware Cloud Foundation 9.x и 5.x ниже 5.2.4; vSphere Foundation 9.x; Telco Cloud Platform 5.0.x и 5.1.x
- Исправлено
- См. таблицу выше. Бюллетень датирован 29 июля 2026 года; запись NVD опубликована 30 июля. Обходного решения нет
- Кто сообщил
- Broadcom указывает исследователя одной компании по безопасности
- Известна эксплуатация
- Добавлена в каталог CISA KEV 28 октября 2026 года (по времени США) как «Broadcom VMWare ESX Insufficient Logging Vulnerability». Срок 11 ноября. Использование в атаках с вымогательством: неизвестно. Запись каталога не отмечает судебно-технический разбор (triage) как обязательный
В бюллетене мало подробностей, а точные операции в источниках, проверенных этим сайтом, не раскрыты. Дальнейшее — прочтение этого сайта, а не заявление поставщика: поскольку уязвимости нужен доступ администратора, это инструмент для использования после взлома, и его ценность для злоумышленника в том, что записи на хосте могут быть неполными.
Эксплуатация
Каталог CISA подтверждает эксплуатацию, но не даёт подробностей о том, кого и как это затронуло. В отчёте одной компании по безопасности об угрозах 2026 года в юридической сфере, о котором SecurityWeek сообщила 29 октября, сказано, что связанная с Китаем группа использовала эту уязвимость как zero-day в нескольких проникновениях в американские организации, включая цели в юридической сфере, вплоть до начала 2026 года, а SecurityWeek описывает цель как снижение видимости аудиторского следа. Отчёт охватывает активность с сентября 2025 года по август 2026 года. Broadcom указывает, что о ней сообщил исследователь этой же компании. Этот сайт не проверял данные отчёта и не оценивает, кто стоит за активностью. Считайте это сообщением одной компании.
Для защитников практический момент — сроки. Компания описывает использование вплоть до начала 2026 года, за месяцы до исправления 29 июля. Хост, до которого злоумышленник мог добраться до установки исправления, мог быть затронут, даже если сейчас он обновлён (мнение этого сайта). Если ваши хосты или vCenter в этот период были доступны из интернета или из недоверенной сети, проверьте их, а не просто обновляйте.
Что пока неизвестно
| Пункт | Статус |
|---|---|
| Какие операции не записываются | Broadcom не называет |
| Сколько организаций пострадало | Только сообщение компании по безопасности; не проверено |
| Использование в атаках с вымогательством | CISA отмечает как неизвестное |
| ESX 7.0 | Для этой CVE не указан; для критических уязвимостей бюллетеня есть отдельные рекомендации по 7.0 |
Источники
Проверено 30 октября 2026 года (бюллетень Broadcom, редакция .2, данные каталога CISA, запись NVD).
- Broadcom, «VMSA-2026-0006» (редакция .2, обновлено 19 августа 2026) — support.broadcom.com
- CISA, Known Exploited Vulnerabilities Catalog (записи для CVE-2026-41709, добавлена 28 октября 2026, и CVE-2026-59310, добавлена 18 августа 2026) — cisa.gov
- NVD, «CVE-2026-41709» — nvd.nist.gov
- Отчёт одной компании по безопасности о ландшафте угроз в юридической сфере 2026 года (краткое изложение в блоге, на английском языке) — страница отчёта
- SecurityWeek, «Chinese Hackers Quietly Used Low-Severity ESXi Logging Flaw as Zero-Day» (29 октября 2026) — securityweek.com
История обновлений
2026-10-30: первая версия на основе VMSA-2026-0006 от Broadcom (редакция .2), внесения CISA в KEV 28 октября и записи NVD.
Читайте далее
- Как определять приоритет, когда оценка и включение в список расходятся: Что патчить в первую очередь: CVSS, EPSS и KEV
- Другие эксплуатируемые периферийные устройства в этом месяце: Эксплуатируемые уязвимости периферийных устройств, середина октября 2026
- Проверка сервера: как проверить, не был ли взломан ваш сайт или сервер
- Когда объявлена уязвимость: план устранения CVE
- Термины: Что такое CVSS