Две ошибки в vCenter получили по 9,8 балла из 10: CVE-2026-59309 позволяет обойти аутентификацию, а CVE-2026-59310 открывает путь к удалённому исполнению кода. Для обеих атак достаточно сетевого доступа к vCenter.
Ещё одна проблема, CVE-2026-47876 с оценкой 9,3 балла, находится в адаптере VMXNET3 в ESX. Она позволяет администратору гостевой машины запустить код на физическом хосте, но для этого нужны локальные административные права.
Broadcom выпустила исправления для vCenter и ESX, а Workstation и Fusion нужно обновить до версии 26H1. Обходных мер нет, а CISA уже подтвердила использование CVE-2026-59310 операторами программ-вымогателей.
