CISA marca como explotada una falla de VMware ESX ya parchada
La CVE-2026-41709 deja a un administrador malicioso actuar sin rastro en los registros. Broadcom la corrigió en julio.
La CISA, la agencia de ciberseguridad de Estados Unidos, añadió el 28 de octubre la CVE-2026-41709 a su catálogo de vulnerabilidades explotadas, por tener "evidencia de explotación activa". La falla está en VMware ESX, el hipervisor de Broadcom que corre máquinas virtuales en servidores.
El parche ya existía. Broadcom lo publicó en el aviso VMSA-2026-0006 el 29 de julio y lo actualizó el 19 de agosto. Lo nuevo es su inclusión en la lista de fallas aprovechadas en ataques reales.
Su gravedad es baja: 2.7 en la escala CVSS.
Es un fallo de registro insuficiente. Un administrador malicioso puede hacer operaciones en el servidor sin que queden anotadas. No sirve para entrar: sirve para borrar huellas cuando el atacante ya tiene privilegios. Por eso entra al catálogo pese a su puntuación, que no mide el daño técnico sino si hay explotación comprobada.
CrowdStrike afirma en su informe de 2026 sobre amenazas al sector legal que WARP PANDA, un grupo que vincula con China, usó la CVE-2026-41709 como día cero (antes de que hubiera parche) en varios casos, hasta principios de 2026. La firma lo describe como un atacante de entornos en la nube y de virtualización, que borra registros y crea máquinas virtuales que no aparecen en vCenter.
Para Broadcom no existe un paliativo: hay que instalar una de estas versiones.
| Versión corregida | Producto |
|---|---|
| ESXi80U3j-25429389 | ESX 8.0 |
| ESXi-9.1.0.0-25370933 | VCF y vSphere Foundation, ESX 9.1.x |
| ESXi-9.0.2.0100-25595025 | VCF y vSphere Foundation, ESX 9.0.x |
| 5.2.4 | VMware Cloud Foundation 5.x (ESX) |
| Artículo KB449886 de Broadcom | Telco Cloud Platform 5.0.x y 5.1.x |
| Contactar a Broadcom Support, con soporte extendido | ESX 7.0 |
El mismo aviso agrupa otras cuatro fallas, entre ellas dos de vCenter con calificación crítica, 9.8 cada una (CVE-2026-59309 y CVE-2026-59310), así que muchos equipos de TI pudieron instalar la actualización en julio o agosto por esas. Ni la CISA ni Broadcom han dado cifras de víctimas.
Las agencias civiles federales de Estados Unidos tienen hasta el 11 de noviembre para corregirla.
