A Broadcom divulgou em 29 de julho de 2026 o advisory VMSA-2026-0006, que corrige duas vulnerabilidades críticas (CVSS 9,8) no VMware vCenter Server: CVE-2026-59309, bypass de autenticação no VMware Directory Service, e CVE-2026-59310, directory traversal no servidor Syslog que permite execução remota de código. Ambas são exploráveis sem credenciais por atacantes com acesso de rede, e nenhuma possui workaround.
O que são as falhas
A CVE-2026-59309 é uma vulnerabilidade de bypass de autenticação no VMware Directory Service, componente responsável pela gestão de identidades e diretório do vCenter. Um atacante com acesso de rede pode explorar a falha para contornar completamente a autenticação e obter acesso não autorizado ao plano de gerenciamento. O NVD confirma CVSS 9,8 com vetor AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, indicando explorabilidade remota sem privilégios nem interação do usuário.
A CVE-2026-59310 afeta o servidor Syslog do vCenter. Trata-se de uma vulnerabilidade de directory traversal que permite a um atacante com acesso de rede manipular caminhos de arquivo arbitrários no sistema, resultando em execução de código arbitrário no contexto do vCenter. Esta falha também recebeu CVSS 9,8 e, assim como a CVE-2026-59309, não exige autenticação prévia — basta acesso de rede às portas do serviço afetado.
O vCenter Server funciona como plano de controle centralizado do VMware vSphere, gerenciando hosts ESXi, máquinas virtuais, alocação de recursos, disponibilidade e outras funções de infraestrutura virtualizada. O comprometimento deste componente entrega ao atacante controle significativo sobre todo o ambiente, incluindo a capacidade de desligar, modificar ou exfiltrar máquinas virtuais e dados sensíveis. As duas vulnerabilidades foram reportadas à Broadcom por Phil Brass e Matt South, da Atredis Partners, em processo de divulgação responsável.
Versões afetadas e correção
A tabela abaixo resume as versões afetadas e os patches de correção divulgados pela Broadcom no VMSA-2026-0006. Não existe workaround para nenhuma das duas vulnerabilidades.
| Produto | Componente | Versão afetada | Versão corrigida |
|---|---|---|---|
| Cloud Foundation / vSphere Foundation | vCenter | 9.1.x.x | 9.1.0.0300 |
| Cloud Foundation / vSphere Foundation | vCenter | 9.0.x.x | 9.0.2.0100 |
| VMware vCenter | — | 8.0 | 8.0 U3k |
| Cloud Foundation | vCenter | 5.x | Async patch 8.0 U3k |
| Telco Cloud Platform / Infrastructure | vCenter | 3.0–5.1.x | KB449886 |
Os patches são cumulativos: a versão 9.1.0.0300 engloba todos os fixes anteriores liberados para a linha 9.1, incluindo o de CVE-2026-59309, inicialmente corrigido em 9.1.0.0200. A Broadcom orienta aplicar sempre a versão mais recente disponível para cada produto afetado, garantindo cobertura completa de correções acumuladas.
Risco e contexto de exploração
Até 30 de julho de 2026 não há evidência pública de exploração ativa ou proof-of-concept divulgado para qualquer uma das duas CVEs. Esse cenário pode mudar rapidamente: o vCenter Server já apareceu dez vezes no catálogo KEV (Known Exploited Vulnerabilities) da CISA por vulnerabilidades anteriores, o que confirma que atacantes priorizam este produto assim que falhas críticas são reveladas.
O sistema SSVC (Stakeholder-Specific Vulnerability Categorization) da CISA para a CVE-2026-59309 classifica a automação de exploração como positiva e o impacto técnico como total, sinalizando que, uma vez weaponizada, a falha pode ser explorada em escala.
A gravidade é amplificada pelo fato de ambas as falhas serem exploráveis sem autenticação. Interfaces de gerenciamento como o vCenter costumam ser restritas a redes internas ou dedicadas, o que reduz a exposição a ataques originados da internet, mas não elimina o risco de um atacante que já tenha estabelecido acesso lateral à rede corporativa. Nesse cenário, o vCenter torna-se um alvo de alto valor para privilege escalation e movimentação lateral. A ausência de workaround significa que a janela de exposição se estende até que o patch seja efetivamente aplicado em todas as instâncias afetadas.
Como medida complementar, equipes devem verificar a exposição externa das interfaces vCenter à internet, implementar segmentação de rede para isolar o tráfego de gerenciamento e revisar regras de firewall. Para orientações sobre detecção pós-correção e identificação de tentativas de exploração em logs, consulte o guia de monitoramento de logs na defesa digital.
Plano de ação para equipes
- Inventariar instâncias vCenter: mapeie todas as versões em produção, incluindo Cloud Foundation, vSphere Foundation e ambientes Telco Cloud, identificando a linha de versão de cada instalação.
- Priorizar pela exposição: aplique o patch primeiro em instâncias com interfaces acessíveis por rede ampla ou internet, depois nas internas com acesso restrito.
- Aplicar a versão corrigida: siga a Response Matrix do VMSA-2026-0006 para cada produto e versão, respeitando o caminho de atualização cumulativo.
- Verificar pós-patch: confirme a versão instalada e monitore logs de autenticação do vCenter e do Syslog por tentativas anômalas ou padrões suspeitos de directory traversal.
- Restringir acesso de rede: limite o tráfego às portas de gerenciamento e serviços do vCenter a redes administrativas dedicadas, utilizando ACLs ou microsegmentação.
- Documentar e reportar: registre a aplicação do patch, a versão final e eventuais resíduos de exposição para auditoria interna e conformidade.
Para casos de vulnerabilidades sem patch disponível, a postura defensiva exige mitigação alternativa — como analisado no caso da infraestrutura crítica exposta sem correção. Já o ciclo de priorização do KEV da CISA em falhas de CVSS 9,8 está detalhado na análise do CVE-2026-58644 no SharePoint.