VMware ESX: una falla que deja actuar a un administrador sin dejar rastro ya se explota; CISA fija el 11 de noviembre

La Agencia de Ciberseguridad e Infraestructura de Estados Unidos (CISA) agregó el 28 de octubre de 2026 la CVE-2026-41709 de VMware ESX a su catálogo de vulnerabilidades explotadas (KEV) y dio a las agencias federales hasta el miércoles 11 de noviembre para corregirla. Es una falla rara: no da acceso a nadie, pero permite que quien ya es administrador del host haga ciertas operaciones sin que queden en el registro. En una intrusión de ransomware, eso es exactamente lo que el atacante quiere.

Broadcom la publicó el 29 de julio en el aviso VMSA-2026-0006, junto con cuatro fallas más graves de ESX y vCenter. Si actualizaste en agosto, probablemente ya estás cubierto. Si tus hosts siguen en la versión con la que se instalaron, esta es la semana para revisar.

Fuentes: catálogo KEV de CISA (versión 2026.11.03, consultada el 3 de noviembre de 2026) y aviso VMSA-2026-0006.2 de Broadcom.

Qué hace la falla y por qué la explotan

El aviso de Broadcom es breve: ESX tiene una vulnerabilidad de registro insuficiente y "un administrador malicioso" puede aprovecharla para realizar ciertas operaciones sin que se registren. La reportó Ian Barton, de CrowdStrike. Broadcom no detalla qué operaciones quedan fuera del registro.

Por eso la calificación es baja: para usarla ya necesitas ser administrador. El problema es que en los ataques de ransomware a servidores de virtualización el atacante llega a ser administrador casi siempre: con una contraseña robada, una cuenta de dominio con permisos de más o una falla en vCenter. Una vez dentro, lo que le estorba es la bitácora: sin ella, tu equipo de respuesta pierde la pista de qué pasó y desde cuándo.

Ya hay nombre detrás. Según SecurityWeek (29 de octubre de 2026), CrowdStrike reportó que Warp Panda, un grupo vinculado a China, usó esta falla como día cero en intrusiones a organizaciones de Estados Unidos, entre ellas despachos de abogados, para reducir de forma significativa el rastro de auditoría. El grupo suele entrar por equipos de borde expuestos a internet y de ahí saltar a vCenter. CISA no detalló la explotación que observó.

Versiones que la corrigen

Fuente: VMSA-2026-0006.2, Broadcom.

Ojo con la rama 8.0: el mismo aviso corrige la CVE-2026-47876, un escape de máquina virtual en el adaptador de red VMXNET3 con CVSS 9.3, y esa necesita una versión más nueva, ESXi80U3k-25595708 (o ESXi80U2f-25626445 si sigues en Update 2). Si vas a parchar, no te quedes en U3j; ve directo a la U3k o la que esté vigente.

El vCenter del mismo aviso ya se usa en ransomware

El aviso VMSA-2026-0006 trae dos fallas críticas de vCenter con CVSS 9.8: la CVE-2026-59309, que permite saltarse la autenticación del servicio de directorio, y la CVE-2026-59310, un recorrido de directorios en el servidor de syslog que permite ejecutar código. CISA agregó la 59310 a su catálogo el 18 de agosto de 2026 y la marca con uso conocido en campañas de ransomware. En vCenter 8.0 se corrigen con la 8.0 U3k.

Junta las piezas y el escenario es claro: entrar por vCenter, tomar control de los hosts y operar en ESX sin dejar rastro. Si tienes vCenter y ESX sin actualizar desde julio, tienes las dos mitades del ataque.

Qué hacer antes del 11 de noviembre

1. Saca la versión exacta de cada host. En la consola de ESX, vmware -vl te da versión y compilación; en vCenter lo ves en el resumen de cada host. Compara contra la tabla de arriba, sin olvidar la sucursal.
2. Actualiza vCenter primero y luego los hosts. Así cierras primero la puerta de entrada (CVE-2026-59309 y 59310) antes de ocuparte de lo que pasa adentro. Programa la ventana fuera de horario y mueve las máquinas virtuales con vMotion si tienes más de un host; si tienes uno solo, avisa que habrá apagado.
3. Manda los registros fuera del host. Configura syslog remoto hacia un servidor o servicio que el administrador de ESX no pueda borrar. Lo que ya salió del equipo es tu única evidencia. Revisa también que nadie haya cambiado el destino del syslog: es de lo primero que tocan.
4. Reduce quién es administrador. Revisa las cuentas con rol de administrador en vCenter y en cada host, quita las de exempleados y proveedores que ya no trabajan contigo, y no uses la misma cuenta del dominio para todo. Activa el modo de bloqueo (lockdown) en los hosts si tu operación lo permite y deja SSH apagado salvo cuando lo uses.
5. Aísla la red de administración. La interfaz de vCenter y de ESX no debe verse desde internet ni desde la red de usuarios. Ponla en una VLAN propia, accesible solo por VPN con segundo factor.
6. Comprueba que tus respaldos no viven en el mismo host. Un ransomware que cifra el datastore también cifra el respaldo guardado ahí. Necesitas una copia fuera de línea o inmutable y haber probado que restaura.

Contexto

Los servidores de virtualización son el blanco favorito porque un solo host concentra el ERP, el correo, el punto de venta y los archivos. Lo explicamos en el panorama de ransomware para PyMEs y en la guía para que tu respaldo sobreviva a un ataque. Esta semana de plazos en el catálogo de CISA viene después de la VPN de Cisco ASA y FTD, con plazo de días. Si el costo de licenciamiento de Broadcom ya te tenía pensando en cambiar de plataforma, la comparación Proxmox vs. VMware te sirve para decidir si este parche es el último que aplicas en VMware.