CVE-2026-41709: Vulnerabilidad de registro insuficiente de Broadcom VMWare ESX

El registro de CVE describe la falla de esta manera: VMware ESX contiene una vulnerabilidad de registro insuficiente. Un administrador malintencionado podría explotar este problema para realizar ciertas operaciones sin que sean registradas.[2]HOL Guard reporta que Broadcom lo corrigió en VMSA-2026-0006 el 2026-07-29 y lo calificó como Bajo (CVSS 2.7), acreditando a Ian Barton de CrowdStrike.[3] The Hacker News reportó en ese momento que Broadcom señaló que no ha encontrado evidencia que sugiera que ninguno de estos problemas haya sido explotado[4].En su Informe del Panorama de Amenazas Legales 2026, CrowdStrike dice que en varios de estos casos, y tan recientemente como principios de 2026, el adversario explotó[1] la falla. Según HOL Guard, esto ocurrió después de que WARP PANDA había implementado malware en los entornos de vCenter de víctimas en entidades estadounidenses incluyendo el sector legal[3].HOL Guard reporta que CISA la agregó a KEV el mismo día con una fecha límite de 2026-11-11.[3] El sitio cve-security.com reporta que CISA enumera el uso de ransomware como "Desconocido"[2].HOL Guard dice que el error no otorga acceso por sí solo; su valor para los atacantes es ocultar la actividad posterior a la compromisión en el hipervisor[3]. Agrega que Broadcom y CrowdStrike no han divulgado qué operaciones no se registran ni cómo funciona la omisión.[3]The Hacker News reporta que las correcciones se enviaron en las versiones VMware Cloud Foundation y VMware vSphere Foundation ESXi-9.1.0.0-25370933 y ESXi-9.0.2.0100-25595025, y VMware ESX ESXi80U3j-25429389[4].La empresa de seguridad Hard2bit recomendó que, debido a esta falla, los defensores deberían "no confiar solo en los registros del propio vCenter para detectar abusos."[5]