Broadcom исправила критические уязвимости vCenter и VMware ESX

02.08.2026

Broadcom выпустила обновления безопасности для VMware ESX, vCenter, Workstation и Fusion, закрыв пять уязвимостей. Три признаны критическими: CVE-2026-59309 и CVE-2026-59310 получили 9,8 балла CVSS, CVE-2026-47876 — 9,3. Исправления также доступны для VMware Cloud Foundation и VMware vSphere Foundation.

Две критические ошибки в vCenter

CVE-2026-59309 позволяет злоумышленнику с сетевым доступом к vCenter обойти аутентификацию и получить несанкционированный доступ к системе. CVE-2026-59310 связана с обходом каталогов: при том же уровне доступа её можно использовать для выполнения произвольного кода.

Для этих двух уязвимостей Broadcom указала следующие исправленные версии:

VMware Cloud Foundation и VMware vSphere Foundation 9.1.x.x — 9.1.0.0300;
те же платформы 9.0.x.x — 9.0.2.0100;
VMware vCenter 8.0 — 8.0 U3k;
VMware Cloud Foundation 5.x — асинхронное обновление до 8.0 U3k.

Выход из ВМ и другие ошибки ESX

CVE-2026-47876 — запись за пределами буфера в виртуальном сетевом адаптере VMXNET3. Если атакующий уже имеет локальные административные права внутри виртуальной машины, он может выполнить код на хосте ESX. Broadcom назвала этот сценарий выходом из виртуальной машины. Ошибка исправлена в ESXi-9.1.0.0200-25557999, ESXi-9.0.2.0100-25595025 и ESXi80U3k-25595708.

CVE-2026-41703 с оценкой 7,6 — чтение за пределами буфера. Обладатель права развёртывать ВМ может вызвать раскрытие информации или отказ в обслуживании; в Workstation и Fusion влияние ограничено раскрытием данных. Патчи вошли в Workstation 26H1, Fusion 26H1 и VMware Cloud Foundation 5.2.3. CVE-2026-41709 с оценкой 2,7 устраняет недостаточное журналирование, позволявшее вредоносному администратору проводить отдельные операции без записи.

Практический вывод

Broadcom не обнаружила признаков эксплуатации в реальных атаках. Бизнесу стоит сверить установленные версии с перечнем исправлений, ограничить сетевой доступ к vCenter и обновить управляющий сервер и хосты ESX. Отдельной проверки требуют ВМ с VMXNET3 и учётные записи с правами локального администратора или развёртывания виртуальных машин.

vCenter 8.0 U3k: исправление уязвимостей управляющего сервера

Для ветки vCenter 8.0 в перечне исправлений указана версия 8.0 U3k. Она закрывает описанные выше CVE-2026-59309 и CVE-2026-59310, связанные с обходом аутентификации и выполнением произвольного кода при сетевом доступе к vCenter. Проверка должна охватывать не только номер версии, но и доступность управляющего сервера из сети.

Сверьте установленную версию vCenter с 8.0 U3k.
Ограничьте сетевой доступ к интерфейсам vCenter.
Проверьте учётные записи с расширенными правами.

ESXi80U3k: отдельная сборка для хостов ESXi

Обозначение ESXi80U3k относится к исправлению ESXi 8.0, а не vCenter. В опубликованном перечне указана сборка ESXi80U3k-25595708. Она устраняет CVE-2026-47876 в виртуальном адаптере VMXNET3, при которой администратор внутри виртуальной машины мог выполнить код на хосте.

Проверьте версию и номер сборки каждого ESXi-хоста.
Не используйте статус обновления vCenter как подтверждение обновления ESXi.
Отдельно найдите виртуальные машины, использующие VMXNET3.

Что означает поиск vCenter vulnerability

Англоязычный запрос vCenter vulnerability обычно используют для поиска сведений об уязвимости vCenter, затронутых версиях и доступном исправлении. В данном случае ключевой ориентир для ветки 8.0 — обновление U3k, однако хосты ESXi необходимо проверять отдельно по их собственным версиям и сборкам.