VMware phát hành bản vá khẩn cấp cho loạt lỗ hổng nghiêm trọng trong vCenter và ESXi

[WhiteHat Team]

Broadcom vừa phát hành bản cập nhật bảo mật khẩn cấp để khắc phục nhiều lỗ hổng trong hệ sinh thái VMware, bao gồm VMware ESX, vCenter, Workstation và Fusion. Đáng chú ý, ba lỗ hổng được đánh giá ở mức nghiêm trọng có thể cho phép kẻ tấn công vượt qua xác thực, thực thi mã từ xa và thậm chí thoát khỏi môi trường máy ảo để xâm nhập máy chủ vật lý.
​

​

Theo cảnh báo bảo mật của Broadcom, lỗ hổng nghiêm trọng nhất là CVE-2026-59309 (CVSS 9.8), một lỗi bỏ qua xác thực trên VMware vCenter. Kẻ tấn công chỉ cần có khả năng kết nối mạng tới máy chủ vCenter có thể lợi dụng lỗ hổng để truy cập trái phép vào hệ thống quản trị mà không cần thông tin đăng nhập hợp lệ. Đi cùng với đó là CVE-2026-59310 (CVSS 9.8), lỗ hổng Directory Traversal trên vCenter cho phép thực thi mã tùy ý. Khi kết hợp với khả năng truy cập mạng, lỗi này có thể tạo điều kiện để đối tượng tấn công chiếm quyền điều khiển máy chủ quản lý hạ tầng ảo hóa của doanh nghiệp.

Các phiên bản đã được vá bao gồm VMware Cloud Foundation và VMware vSphere Foundation 9.1.x, 9.0.x, VMware vCenter 8.0 U3k cùng các bản vá tương ứng cho dòng Cloud Foundation 5.x.

Bên cạnh hai lỗ hổng trên, Broadcom cũng khắc phục CVE-2026-47876 (CVSS 9.3), một lỗi ghi dữ liệu ngoài vùng nhớ trong bộ điều hợp mạng ảo VMXNET3 của VMware ESX. Lỗ hổng này được hãng phân loại là một trường hợp VM Escape. Theo mô tả kỹ thuật, kẻ tấn công đã có quyền quản trị cục bộ bên trong máy ảo sử dụng VMXNET3 có thể khai thác lỗi để thực thi mã trên chính máy chủ ESX vật lý. Đây là kịch bản đặc biệt đáng lo ngại trong các môi trường đa thuê bao hoặc trung tâm dữ liệu lớn, nơi ranh giới giữa máy ảo và máy chủ vật lý đóng vai trò cốt lõi trong mô hình bảo mật.

Ngoài ba lỗ hổng có mức độ ảnh hưởng cao, Broadcom còn vá CVE-2026-41703 (CVSS 7.6), một lỗi đọc dữ liệu ngoài vùng nhớ có thể dẫn đến rò rỉ thông tin hoặc gây từ chối dịch vụ trên VMware ESX. Trên VMware Workstation và Fusion, tác động chủ yếu giới hạn ở nguy cơ lộ dữ liệu. Một lỗ hổng khác là CVE-2026-41709 (CVSS 2.7) liên quan đến cơ chế ghi nhật ký không đầy đủ trên VMware ESX. Lỗi này cho phép quản trị viên có đặc quyền thực hiện một số thao tác mà không được ghi lại trong hệ thống log.

Broadcom cho biết hiện chưa ghi nhận dấu hiệu các lỗ hổng đang bị khai thác ngoài thực tế. Tuy nhiên, hãng không cung cấp biện pháp giảm thiểu tạm thời và xếp bản cập nhật lần này vào nhóm Emergency Change, đồng nghĩa các tổ chức nên ưu tiên triển khai vá lỗi trong thời gian sớm nhất.

Dù Broadcom cho biết chưa ghi nhận dấu hiệu khai thác trong thực tế, các chuyên gia vẫn đánh giá đây là nhóm lỗ hổng cần được ưu tiên xử lý. Trong đó, hai lỗ hổng trên vCenter có thể tạo điều kiện cho kẻ tấn công chiếm quyền hệ thống quản trị trung tâm của hạ tầng VMware, còn CVE-2026-47876 lại liên quan đến kịch bản VM Escape hiếm gặp nhưng đặc biệt nguy hiểm. Nếu bị khai thác thành công, đối tượng tấn công có thể vượt qua ranh giới bảo vệ giữa máy ảo và máy chủ vật lý, từ đó mở rộng quyền kiểm soát và gia tăng mức độ ảnh hưởng trong toàn bộ môi trường ảo hóa.​