[{"data":1,"prerenderedAt":-1},["ShallowReactive",2],{"blog-/blog/noticias/vmware-esx-cve-2026-41709-registro-kev-11-noviembre":3,"prev-/blog/noticias/vmware-esx-cve-2026-41709-registro-kev-11-noviembre":419,"next-/blog/noticias/vmware-esx-cve-2026-41709-registro-kev-11-noviembre":422,"related-/blog/noticias/vmware-esx-cve-2026-41709-registro-kev-11-noviembre":425,"author-Diego Herrera":445},{"id":4,"title":5,"author":6,"authorUrl":7,"body":8,"category":372,"cta":373,"date":379,"dateModified":379,"description":380,"draft":381,"extension":382,"faq":383,"featured":381,"howto":396,"image":397,"imageAlt":398,"intent":399,"keywords":400,"meta":405,"navigation":406,"path":407,"publishedTime":408,"readingTime":409,"seo":410,"seoTitle":411,"stem":412,"tags":413,"__hash__":418},"blog/blog/noticias/vmware-esx-cve-2026-41709-registro-kev-11-noviembre.md","VMware ESX: una falla que deja actuar a un administrador sin dejar rastro ya se explota; CISA fija el 11 de noviembre","Diego Herrera","/autores/diego-herrera",{"type":9,"value":10,"toc":362},"minimark",[11,36,43,127,130,135,138,145,164,167,171,233,236,247,251,266,269,277,281,326,330,353],[12,13,14,15,19,20,23,24,27,28,31,32,35],"p",{},"La Agencia de Ciberseguridad e Infraestructura de Estados Unidos (CISA) agregó el ",[16,17,18],"strong",{},"28 de octubre de 2026"," la ",[16,21,22],{},"CVE-2026-41709"," de ",[16,25,26],{},"VMware ESX"," a su catálogo de vulnerabilidades explotadas (KEV) y dio a las agencias federales hasta el ",[16,29,30],{},"miércoles 11 de noviembre"," para corregirla. Es una falla rara: no da acceso a nadie, pero permite que quien ya es administrador del host ",[16,33,34],{},"haga ciertas operaciones sin que queden en el registro",". En una intrusión de ransomware, eso es exactamente lo que el atacante quiere.",[12,37,38,39,42],{},"Broadcom la publicó el 29 de julio en el aviso ",[16,40,41],{},"VMSA-2026-0006",", junto con cuatro fallas más graves de ESX y vCenter. Si actualizaste en agosto, probablemente ya estás cubierto. Si tus hosts siguen en la versión con la que se instalaron, esta es la semana para revisar.",[44,45,46,59],"table",{},[47,48,49],"thead",{},[50,51,52,56],"tr",{},[53,54,55],"th",{},"Dato",[53,57,58],{},"Detalle",[60,61,62,71,79,87,95,103,111,119],"tbody",{},[50,63,64,68],{},[65,66,67],"td",{},"CVE",[65,69,70],{},"CVE-2026-41709 (CWE-778, registro insuficiente)",[50,72,73,76],{},[65,74,75],{},"Producto",[65,77,78],{},"VMware ESX (incluido en VMware Cloud Foundation y Telco Cloud Platform)",[50,80,81,84],{},[65,82,83],{},"Severidad del fabricante",[65,85,86],{},"Baja, CVSS 2.7",[50,88,89,92],{},[65,90,91],{},"Aviso",[65,93,94],{},"VMSA-2026-0006, publicado el 29 jul 2026; actualizado el 3 y el 19 de agosto",[50,96,97,100],{},[65,98,99],{},"Alta en KEV de CISA",[65,101,102],{},"28 oct 2026",[50,104,105,108],{},[65,106,107],{},"Plazo de CISA",[65,109,110],{},"11 nov 2026",[50,112,113,116],{},[65,114,115],{},"Uso en ransomware",[65,117,118],{},"CISA lo marca como \"desconocido\"",[50,120,121,124],{},[65,122,123],{},"Medida temporal",[65,125,126],{},"Ninguna; solo actualizar",[12,128,129],{},"Fuentes: catálogo KEV de CISA (versión 2026.11.03, consultada el 3 de noviembre de 2026) y aviso VMSA-2026-0006.2 de Broadcom.",[131,132,134],"h2",{"id":133},"qué-hace-la-falla-y-por-qué-la-explotan","Qué hace la falla y por qué la explotan",[12,136,137],{},"El aviso de Broadcom es breve: ESX tiene una vulnerabilidad de registro insuficiente y \"un administrador malicioso\" puede aprovecharla para realizar ciertas operaciones sin que se registren. La reportó Ian Barton, de CrowdStrike. Broadcom no detalla qué operaciones quedan fuera del registro.",[12,139,140,141,144],{},"Por eso la calificación es baja: para usarla ya necesitas ser administrador. El problema es que en los ataques de ransomware a servidores de virtualización ",[16,142,143],{},"el atacante llega a ser administrador"," casi siempre: con una contraseña robada, una cuenta de dominio con permisos de más o una falla en vCenter. Una vez dentro, lo que le estorba es la bitácora: sin ella, tu equipo de respuesta pierde la pista de qué pasó y desde cuándo.",[12,146,147,148,155,156,159,160,163],{},"Ya hay nombre detrás. Según ",[149,150,154],"a",{"href":151,"rel":152},"https://www.securityweek.com/chinese-hackers-quietly-used-low-severity-esxi-logging-flaw-as-zero-day/",[153],"nofollow","SecurityWeek"," (29 de octubre de 2026), CrowdStrike reportó que ",[16,157,158],{},"Warp Panda",", un grupo vinculado a China, usó esta falla como ",[16,161,162],{},"día cero"," en intrusiones a organizaciones de Estados Unidos, entre ellas despachos de abogados, para reducir de forma significativa el rastro de auditoría. El grupo suele entrar por equipos de borde expuestos a internet y de ahí saltar a vCenter. CISA no detalló la explotación que observó.",[165,166],"ad-banner",{},[131,168,170],{"id":169},"versiones-que-la-corrigen","Versiones que la corrigen",[44,172,173,183],{},[47,174,175],{},[50,176,177,180],{},[53,178,179],{},"Rama",[53,181,182],{},"Versión con la corrección",[60,184,185,193,201,209,217,225],{},[50,186,187,190],{},[65,188,189],{},"ESX 9.1.x (VCF/VSF)",[65,191,192],{},"ESXi-9.1.0.0-25370933",[50,194,195,198],{},[65,196,197],{},"ESX 9.0.x (VCF/VSF)",[65,199,200],{},"ESXi-9.0.2.0100-25595025",[50,202,203,206],{},[65,204,205],{},"ESX 8.0",[65,207,208],{},"ESXi80U3j-25429389",[50,210,211,214],{},[65,212,213],{},"VMware Cloud Foundation 5.x",[65,215,216],{},"5.2.4",[50,218,219,222],{},[65,220,221],{},"Telco Cloud Platform 5.0.x y 5.1.x",[65,223,224],{},"Ver KB449886",[50,226,227,230],{},[65,228,229],{},"ESX 7.0",[65,231,232],{},"El aviso no lista corrección",[12,234,235],{},"Fuente: VMSA-2026-0006.2, Broadcom.",[12,237,238,239,242,243,246],{},"Ojo con la rama 8.0: el mismo aviso corrige la ",[16,240,241],{},"CVE-2026-47876",", un escape de máquina virtual en el adaptador de red VMXNET3 con CVSS 9.3, y esa necesita una versión más nueva, ",[16,244,245],{},"ESXi80U3k-25595708"," (o ESXi80U2f-25626445 si sigues en Update 2). Si vas a parchar, no te quedes en U3j; ve directo a la U3k o la que esté vigente.",[131,248,250],{"id":249},"el-vcenter-del-mismo-aviso-ya-se-usa-en-ransomware","El vCenter del mismo aviso ya se usa en ransomware",[12,252,253,254,257,258,261,262,265],{},"El aviso VMSA-2026-0006 trae dos fallas críticas de ",[16,255,256],{},"vCenter"," con CVSS 9.8: la CVE-2026-59309, que permite saltarse la autenticación del servicio de directorio, y la ",[16,259,260],{},"CVE-2026-59310",", un recorrido de directorios en el servidor de syslog que permite ejecutar código. CISA agregó la 59310 a su catálogo el 18 de agosto de 2026 y la marca con ",[16,263,264],{},"uso conocido en campañas de ransomware",". En vCenter 8.0 se corrigen con la 8.0 U3k.",[12,267,268],{},"Junta las piezas y el escenario es claro: entrar por vCenter, tomar control de los hosts y operar en ESX sin dejar rastro. Si tienes vCenter y ESX sin actualizar desde julio, tienes las dos mitades del ataque.",[270,271,274],"callout",{"icon":272,"title":273},"i-lucide-triangle-alert","¿Sigues en ESX 7.0?",[12,275,276],{},"El aviso no trae corrección para ESX 7.0 en esta falla, y para las críticas remite a soporte extendido de Broadcom. Si tu host todavía corre 7.0, el parche no es tu plan: el plan es migrar a 8.0 o a otra plataforma, y mientras tanto aislar la administración y sacar los registros del equipo.",[131,278,280],{"id":279},"qué-hacer-antes-del-11-de-noviembre","Qué hacer antes del 11 de noviembre",[282,283,284,296,302,308,314,320],"ol",{},[285,286,287,290,291,295],"li",{},[16,288,289],{},"Saca la versión exacta de cada host."," En la consola de ESX, ",[292,293,294],"code",{},"vmware -vl"," te da versión y compilación; en vCenter lo ves en el resumen de cada host. Compara contra la tabla de arriba, sin olvidar la sucursal.",[285,297,298,301],{},[16,299,300],{},"Actualiza vCenter primero y luego los hosts."," Así cierras primero la puerta de entrada (CVE-2026-59309 y 59310) antes de ocuparte de lo que pasa adentro. Programa la ventana fuera de horario y mueve las máquinas virtuales con vMotion si tienes más de un host; si tienes uno solo, avisa que habrá apagado.",[285,303,304,307],{},[16,305,306],{},"Manda los registros fuera del host."," Configura syslog remoto hacia un servidor o servicio que el administrador de ESX no pueda borrar. Lo que ya salió del equipo es tu única evidencia. Revisa también que nadie haya cambiado el destino del syslog: es de lo primero que tocan.",[285,309,310,313],{},[16,311,312],{},"Reduce quién es administrador."," Revisa las cuentas con rol de administrador en vCenter y en cada host, quita las de exempleados y proveedores que ya no trabajan contigo, y no uses la misma cuenta del dominio para todo. Activa el modo de bloqueo (lockdown) en los hosts si tu operación lo permite y deja SSH apagado salvo cuando lo uses.",[285,315,316,319],{},[16,317,318],{},"Aísla la red de administración."," La interfaz de vCenter y de ESX no debe verse desde internet ni desde la red de usuarios. Ponla en una VLAN propia, accesible solo por VPN con segundo factor.",[285,321,322,325],{},[16,323,324],{},"Comprueba que tus respaldos no viven en el mismo host."," Un ransomware que cifra el datastore también cifra el respaldo guardado ahí. Necesitas una copia fuera de línea o inmutable y haber probado que restaura.",[131,327,329],{"id":328},"contexto","Contexto",[12,331,332,333,337,338,342,343,347,348,352],{},"Los servidores de virtualización son el blanco favorito porque un solo host concentra el ERP, el correo, el punto de venta y los archivos. Lo explicamos en ",[149,334,336],{"href":335},"/blog/tendencias/ransomware-2026-pymes","el panorama de ransomware para PyMEs"," y en la guía para que tu ",[149,339,341],{"href":340},"/blog/tutorial/respaldo-sobrevivir-ransomware","respaldo sobreviva a un ataque",". Esta semana de plazos en el catálogo de CISA viene después de la ",[149,344,346],{"href":345},"/blog/noticias/cisco-asa-ftd-cve-2026-76418-vpn-explotada-kev","VPN de Cisco ASA y FTD",", con plazo de días. Si el costo de licenciamiento de Broadcom ya te tenía pensando en cambiar de plataforma, la comparación ",[149,349,351],{"href":350},"/blog/comparativa/proxmox-vs-vmware","Proxmox vs. VMware"," te sirve para decidir si este parche es el último que aplicas en VMware.",[354,355],"call-to-action",{"description":356,"eyebrow":357,"icon":358,"label":359,"title":360,"to":361},"Inventariamos tus hosts ESX y vCenter, aplicamos las actualizaciones en ventana, mandamos los registros a un servidor externo y probamos que tus respaldos restauran.","Ciberseguridad","i-lucide-shield-check","Hablar con un especialista","Parcha tus hosts sin parar la operación","/contacto",{"title":363,"searchDepth":364,"depth":365,"links":366},"",2,3,[367,368,369,370,371],{"id":133,"depth":364,"text":134},{"id":169,"depth":364,"text":170},{"id":249,"depth":364,"text":250},{"id":279,"depth":364,"text":280},{"id":328,"depth":364,"text":329},"noticias",{"title":374,"description":375,"label":376,"to":377,"icon":378},"¿Tus hosts VMware están al día?","Revisamos versiones de ESX y vCenter, mandamos los registros a un servidor externo y dejamos un plan de parches y respaldos que no dependa del propio host.","Ver servicio de servidores","/servicios/servidores","i-lucide-server","2026-11-06","CISA agregó la CVE-2026-41709 de VMware ESX a su catálogo de fallas explotadas con plazo al 11 de noviembre. Permite operar sin registro. Versiones y qué hacer.",false,"md",[384,387,390,393],{"question":385,"answer":386},"¿Qué es la CVE-2026-41709?","Es una falla de registro insuficiente en VMware ESX. Según el aviso VMSA-2026-0006 de Broadcom, un administrador malicioso puede ejecutar ciertas operaciones sin que queden registradas. Tiene calificación CVSS de 2.7 (baja), la reportó Ian Barton de CrowdStrike y no tiene medida temporal: la única corrección es actualizar.",{"question":388,"answer":389},"¿Por qué importa si es de severidad baja?","Porque CISA la agregó el 28 de octubre de 2026 a su catálogo de vulnerabilidades explotadas (KEV), lo que significa que tiene evidencia de uso real; CrowdStrike la atribuyó al grupo Warp Panda, vinculado a China, que la usó como día cero para reducir su rastro. Quien ya es administrador del host la aprovecha para operar sin dejar huella, que es lo mismo que busca un ataque de ransomware al apagar respaldos y cifrar máquinas virtuales.",{"question":391,"answer":392},"¿Qué versión corrige la falla?","Para ESX 8.0 la corrige ESXi80U3j-25429389 o posterior; para 9.0.x, ESXi-9.0.2.0100-25595025; para 9.1.x, ESXi-9.1.0.0-25370933, y en VMware Cloud Foundation 5.x, la versión 5.2.4. El aviso no lista corrección para ESX 7.0.",{"question":394,"answer":395},"¿Qué pasa el 11 de noviembre?","Es la fecha límite que CISA dio a las agencias federales de Estados Unidos para corregirla. A una empresa mexicana no la obliga, pero es la mejor referencia de urgencia: si CISA da dos semanas, tu host no debería esperar al siguiente trimestre.",null,"/images/blog/noticias/vmware-esx-cve-2026-41709-registro-kev-11-noviembre.jpg","Rack de servidores con un host de virtualización encendido y una consola de administración mostrando un registro de eventos con huecos","informational",[401,402,403,404],"cve-2026-41709 vmware esx","vmware esxi vulnerabilidad explotada","vmsa-2026-0006","esxi registro de auditoria syslog",{},true,"/blog/noticias/vmware-esx-cve-2026-41709-registro-kev-11-noviembre","2026-11-06T08:15:00-06:00",5,{"title":5,"description":380},"VMware ESX CVE-2026-41709: explotada, plazo 11-nov","blog/noticias/vmware-esx-cve-2026-41709-registro-kev-11-noviembre",[414,415,416,417],"ciberseguridad","vmware","virtualización","ransomware","W85OFAbruHhHrAyjIJNLR71Q7P5F0WfzUQieVWhkppw",{"path":420,"title":421},"/blog/noticias/zyxel-gs1900-cve-2026-107441-parche-junio-no-bastaba","Zyxel GS1900: el parche de junio no detuvo el ataque a los switches; hay que volver a actualizar",{"path":423,"title":424},"/blog/noticias/api-claude-version-2026-10-21-temperature-error-sdk","La API de Claude estrena versión y deja de aceptar temperature: tu integración puede romperse en la próxima actualización del SDK",[426,433,439],{"path":427,"title":428,"description":429,"date":430,"category":372,"image":431,"imageAlt":432,"readingTime":409},"/blog/noticias/patch-tuesday-noviembre-2026-hotpatch-server-2022-reinicio-vpn","Patch Tuesday del 10 de noviembre: Windows Server 2022 con hotpatch sí reinicia y el arreglo de Always On VPN llega con retraso","El 10 de noviembre los servidores Windows Server 2022 con hotpatch deben reiniciar, y en diciembre también. Always On VPN ya tiene arreglo. Qué preparar.","2026-11-09","/images/blog/noticias/patch-tuesday-noviembre-2026-hotpatch-server-2022-reinicio-vpn.jpg","Rack de servidores en un cuarto de TI con un monitor que muestra una ventana de mantenimiento programada para reiniciar después de instalar actualizaciones",{"path":434,"title":435,"description":436,"date":430,"category":372,"image":437,"imageAlt":438,"readingTime":409},"/blog/noticias/gemini-2-5-pro-flash-apagado-1-diciembre-redireccion-automatica","Gemini 2.5 Pro y 2.5 Flash dejan de existir en la API el 1 de diciembre: Google mandará tus llamadas a otro modelo sin preguntar","Desde el 1 de diciembre, la API de Gemini manda las llamadas de 2.5 Pro a 3.8 Flash y las de 2.5 Flash a 3.5 Flash-Lite, con su precio. Qué revisar.","/images/blog/noticias/gemini-2-5-pro-flash-apagado-1-diciembre-redireccion-automatica.jpg","Editor de código con una llamada a la API de Gemini y una flecha que desvía la petición de un modelo a otro",{"path":440,"title":441,"description":442,"date":430,"category":372,"image":443,"imageAlt":444,"readingTime":409},"/blog/noticias/dynamics-nav-2017-fin-soporte-11-enero-business-central","Dynamics NAV 2017 se queda sin soporte el 11 de enero de 2027: el camino a Business Central tiene tres escalas","Microsoft termina el soporte extendido de Dynamics NAV 2017 el 11 de enero de 2027. NAV 2016 ya venció y NAV 2018 sigue un año. Rutas, costos y qué decidir.","/images/blog/noticias/dynamics-nav-2017-fin-soporte-11-enero-business-central.jpg","Pantalla de un ERP antiguo con menús grises junto a una laptop con un tablero moderno de Business Central, sobre un escritorio de contabilidad",{"id":446,"avatar":396,"bio":447,"entityType":448,"expertise":449,"extension":450,"meta":451,"name":6,"role":452,"slug":453,"social":396,"stem":454,"url":7,"__hash__":455},"authors/authors/diego-herrera.yml","Ingeniero en ciberseguridad e infraestructura IT. Protege la operación de empresas mexicanas contra amenazas y caídas de servicio.","Person","Diego lidera los proyectos de ciberseguridad e infraestructura de Syswork México. Ha ejecutado auditorías de seguridad, hardening de servidores, despliegues de redes y planes de continuidad para empresas en sectores críticos. Escribe sobre seguridad, servidores, cloud y redes con un enfoque defensivo y orientado a riesgos reales del negocio.","yml",{},"Especialista en Ciberseguridad e Infraestructura","diego-herrera","authors/diego-herrera","vrWQ35_ItOQjxvsvvG7wu5-wWk5ytSOlz-Ij9viIvzM"]