CVE-2026-41709: registro insuficiente en Broadcom VMware ESX permite operaciones de administrador sin auditoría

CVE-2026-41709: registro insuficiente en VMware ESX, añadido al catálogo CISA KEV

El 28 de octubre de 2026 CISA incorporó CVE-2026-41709 al catálogo de Vulnerabilidades Explotadas Conocidas (KEV). Afecta a Broadcom VMware ESX y está clasificada como CWE-778 (Registro insuficiente). Su puntuación CVSS enriquecida por NVD es 2.7 (baja), pero su inclusión en KEV indica que existe evidencia de explotación activa, por lo que conviene tratarla con prioridad pese a la puntuación.

Análisis técnico

Según CISA, ESX contiene una deficiencia de registro que permite a un actor malicioso con acceso de administrador realizar ciertas operaciones sin que queden registradas. No es una vulnerabilidad de ejecución remota ni de escalada de privilegios: su valor para el atacante es la evasión de defensas y la ocultación de rastros.

Vector de ataque

Requiere credenciales o sesión con privilegios administrativos en el host ESX.
Típicamente se encadena con una intrusión previa (credenciales robadas, otra vulnerabilidad o acceso a vCenter/SSH).
Las acciones ejecutadas no aparecen en los logs, lo que dificulta la detección y el análisis forense.

Los detalles de la técnica concreta de explotación no están detallados en el payload de CISA; consulte el aviso del fabricante. El uso en campañas de ransomware figura como Unknown.

Impacto

La confidencialidad e integridad directas son limitadas, pero el impacto operativo es relevante: pérdida de trazabilidad sobre hipervisores, que son activos de alto valor. Un atacante con acceso administrativo puede actuar sin ser auditado, retrasando la respuesta a incidentes y complicando el cumplimiento normativo.

Productos afectados

Broadcom VMware ESX. Las versiones concretas y parches están en el aviso de seguridad de Broadcom (ID 38017), referenciado más abajo.

Recomendaciones y mitigación

Aplicar las mitigaciones y parches indicados por Broadcom lo antes posible.
Cumplir la directiva CISA BOD 26-04 y los «Forensics Triage Requirements».
Restringir y auditar el acceso administrativo a ESX; usar MFA y segmentar la red de gestión.
Reenviar logs a un SIEM externo y buscar actividad administrativa anómala sin registro correspondiente.
Si no hay mitigaciones disponibles, evaluar discontinuar el producto.

Fecha límite para agencias FCEB: 11 de noviembre de 2026.