Broadcom ha pubblicato l'advisory VMSA-2026-0006 il 29 luglio 2026 per due vulnerabilità critiche in VMware vCenter Server che assegnano entrambe il punteggio massimo di CVSSv3.1 9.8. Non esistono workaround per CVE-2026-59309 e CVE-2026-59310: l'unica mitigazione documentata è l'applicazione delle patch rilasciate dal vendor. Per le organizzazioni che gestiscono infrastrutture virtualizzate VMware, la scadenza è immediata e senza alternative operative.
- CVE-2026-59309 è un authentication bypass nel VMware Directory Service; CVE-2026-59310 è una directory traversal nel vCenter Syslog server che permette esecuzione di codice remoto.
- Entrambe le vulnerabilità sono sfruttabili da utenti non autenticati con semplice accesso di rete al sistema vCenter, senza prerequisiti di autenticazione o interazione utente.
- Non esistono workaround per nessuna delle due falle: Broadcom conferma esplicitamente che la colonna "Workarounds" è vuota per entrambe le CVE nella matrice di risposta ufficiale.
- Le versioni interessate includono vCenter 9.1.x.x, 9.0.x.x e 8.0, con estensione a Cloud Foundation, vSphere Foundation e piattaforme Telco Cloud; le patch corrispondenti sono 9.1.0.0300, 9.0.2.0100 e 8.0 U3k/U2f.
Il doppio attacco al piano di gestione: Directory Service e Syslog server
Le due vulnerabilità colpiscono componenti distinti di vCenter Server ma condividono la stessa superficie di attacco. CVE-2026-59309 riguarda il VMware Directory Service, il servizio di directory integrato che gestisce l'autenticazione e l'autorizzazione nel prodotto. Un attore malevolo con accesso di rete può bypassare completamente il meccanismo di autenticazione e ottenere accesso non autorizzato al sistema. Secondo l'advisory ufficiale di Broadcom: "A malicious actor with network access to vCenter may exploit this issue to bypass authentication and gain unauthorized access to the system".
CVE-2026-59310 colpisce invece il vCenter Syslog server, un componente che normalmente gestisce il forwarding centralizzato dei log. La falla è una directory traversal che, secondo l'analisi di Rapid7, permette a un attaccante di "eseguire codice arbitrario". La citazione ufficiale di Broadcom conferma: "A malicious actor with network access to vCenter may exploit this issue to execute arbitrary code". L'impatto è identico in entrambi i casi: compromissione completa del nodo di gestione centrale.
La convergenza di queste due falle in componenti separati ma con la stessa criticità e lo stesso vettore di ingresso crea una condizione di rischio cumulativo. Un sistema vCenter esposto alla rete rappresenta un punto di fallimento singolo con conseguenze totali per l'infrastruttura sottostante.
"vCenter Server has appeared on CISA's KEV list ten times in the past for other vulnerabilities, so it is known that attackers target critical issues in this product" — Rapid7 ETR, 30 luglio 2026
Perché il CVSS 9.8 non è retorica: i vettori di attacco reali
Il punteggio CVSSv3.1 9.8 per entrambe le CVE riflette una combinazione specifica e rara di fattori di rischio. Il vettore di accesso è di rete (AV:N), la complessità dell'attacco è bassa (AC:L), non è richiesta alcuna autorizzazione (PR:N), non è necessaria interazione utente (UI:N) e l'impatto tocca riservatezza, integrità e disponibilità al massimo livello (C:H/I:H/A:H). Questo profilo significa che l'exploit può essere completamente automatizzato e scalato senza attrito.
La mancanza di prerequisiti di autenticazione è il punto critico. In architetture enterprise, vCenter Server è spesso posizionato in segmenti di rete interni considerati affidabili; la falla dimostra che questa fiducia è insufficiente quando il prodotto presenta vulnerabilità di questo tipo. Non serve compromettere endpoint utente, rubare credenziali o aggirare MFA: la sola raggiungibilità di rete del sistema è condizione sufficiente.
L'assenza di workaround documentati da Broadcom amplifica la gravità della situazione. In molti advisory di sicurezza, i vendor forniscono almeno configurazioni temporanee, restrizioni di servizio o controlli di mitigazione. In questo caso, la matrice di risposta ufficiale elenca "None" per entrambe le vulnerabilità, lasciando alle organizzazioni un'unica opzione operativa.
Cosa fare adesso
Le azioni indicate dalle fonti convergono su quattro priorità operative specifiche.
1. Pianificare l'applicazione immediata delle patch ufficiali. Le versioni corrette sono 9.1.0.0300, 9.0.2.0100 e 8.0 U3k/U2f secondo la matrice di risposta Broadcom. Rapid7 conferma le stesse versioni nel suo avviso del 30 luglio 2026. L'aggiornamento deve considerare anche le estensioni del prodotto: Cloud Foundation, vSphere Foundation, Telco Cloud Platform e Telco Cloud Infrastructure rientrano nelle versioni interessate.
2. Verificare l'esposizione di rete di tutti i sistemi vCenter. La condizione di attacco è l'accesso di rete non autenticato. Ogni istanza raggiungibile da segmenti non strettamente necessari al funzionamento ampli la superficie di attacco senza compensazioni disponibili.
3. Monitorare l'ecosistema threat intelligence per segni di exploitation. Al momento della pubblicazione, né Rapid7 né Broadcom segnalano exploitation in-the-wild o PoC pubblici. Questa condizione può evolvere rapidamente: vCenter Server è apparso 10 volte nella CISA Known Exploited Vulnerabilities list per falle precedenti, indicando un pattern consolidato di targeting da parte di attori offensivi.
4. Valutare la segmentazione del piano di gestione rispetto ai workload. Se il brief non documenta specifiche architetturali, la fonte non specifica configurazioni raccomandate. L'indicazione generale resta la riduzione della superficie esposta, compatibilmente con i requisiti operativi dell'infrastruttura.
Il contesto storico: vCenter come target ricorrente
La presenza di vCenter Server nella CISA KEV list per 10 vulnerabilità precedenti non è un dato aneddotico: è un indicatore di attrattività del prodotto per gli attaccanti. Il motivo è strutturale. vCenter è il pannello di controllo unico di interi ambienti vSphere: chi ne ottiene il controllo ottiene il controllo su host ESXi, macchine virtuali, storage, networking e configurazioni di sicurezza dei workload.
Questa centralità rende vCenter un obiettivo di alto valore per operazioni di ransomware, spionaggio e sabotaggio infrastrutturale. La storia recente include vulnerabilità critiche con exploit pubblici e sfruttamento attivo, che hanno costretto interventi di emergenza su scala globale. Il "double critical" di luglio 2026 si inserisce in questo pattern con la variante aggravante della mancanza di workaround.
La frequenza di queste criticità solleva interrogativi sulla superficie di attacco del prodotto e sulla efficacia dei processi di secure development lifecycle. Non emerge tuttavia dalle fonti alcuna sovrapposizione infrastrutturale che colleghi queste specifiche falle a incidenti precedenti o a un particolare gruppo di attaccanti.
Perché è importante
Il dossier presenta limiti significativi sul piano tecnico-dettagliato. Nessuna delle fonti specifica quale parametro o endpoint del VMware Directory Service sia vulnerabile al bypass, né il percorso esatto della directory traversal nel Syslog server. Questa mancanza impedisce analisi di exploitation indipendenti e la costruzione di controlli di rilevamento specifici al di là delle firme generiche di network access.
La fonte non specifica inoltre la data esatta di disclosure privata ai ricercatori Phil Brass e Matt South di Atredis Partners, né la timeline di sviluppo delle patch. Non è documentata la presenza o assenza di exploitation in-the-wild successiva al 30 luglio 2026, data dell'analisi Rapid7. Alcune sezioni dell'advisory Broadcom, come FAQ e Additional Documentation, risultano referenziate ma non popolate nel testo estratto.
Ciò che è documentato è sufficiente a stabilire l'urgenza: due vulnerabilità critiche con CVSS 9.8, nessun prerequisito di autenticazione, nessun workaround, target di gestione centrale con storia di exploitation attiva. Per le organizzazioni con infrastruttura VMware, la prossimità temporale tra la pubblicazione dell'advisory e lo sviluppo potenziale di exploit lascia una finestra di mitigazione stretta e senza alternative.
Fonti
- https://www.rapid7.com/blog/post/etr-critical-vmware-vcenter-vulnerabilities-allow-authentication-bypass-and-remote-code-execution-cve-2026-59309-cve-2026-59310
- https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/38017
- https://www.rapid7.com/platform/
- https://www.rapid7.com/products/command/exposure-management/
- https://www.rapid7.com/products/command/attack-surface-management-asm/
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.