Broadcom warnt mit dem Security Advisory VMSA-2026-0006 vor insgesamt fünf Schwachstellen in VMware ESX, vCenter, Workstation und Fusion. Drei der Sicherheitslücken stuft der Hersteller als kritisch ein. Betroffen sind daneben unter anderem VMware Cloud Foundation, VMware vSphere Foundation sowie verschiedene Telco-Cloud-Produkte.

Das größte Risiko geht von den beiden vCenter-Lücken CVE-2026-59309 und CVE-2026-59310 aus. Beide erreichen einen CVSS-v3-Wert von 9,8 und lassen sich ohne gültige Zugangsdaten über das Netzwerk ausnutzen.

CVE-2026-59309 betrifft den VMware Directory Service. Ein Angreifer mit Netzwerkzugriff auf vCenter könnte die Authentifizierung umgehen und sich unberechtigten Zugang zum System verschaffen. Bei CVE-2026-59310 handelt es sich um eine Directory-Traversal-Schwachstelle im Syslog-Server von vCenter. Eine erfolgreiche Ausnutzung kann laut Broadcom zur Ausführung beliebigen Codes führen.

Ausbruch aus virtueller Maschine möglich

Die ebenfalls kritische Schwachstelle CVE-2026-47876 steckt im virtuellen Netzwerkadapter VMXNET3 von ESXi. Durch eine Out-of-Bounds-Schreiboperation könnte ein Angreifer mit lokalen Administratorrechten innerhalb einer virtuellen Maschine Code auf dem zugrunde liegenden ESXi-Host ausführen.

Betroffen sind ausschließlich virtuelle Maschinen, die einen VMXNET3-Netzwerkadapter verwenden. Ein Update der VMware Tools ist nach Angaben des Herstellers für die Behebung nicht erforderlich. Die Lücke erreicht einen CVSS-Wert von 9,3.

Darüber hinaus beseitigt Broadcom mit CVE-2026-41703 eine Out-of-Bounds-Leseschwachstelle in ESXi, Workstation und Fusion. Nutzer mit Berechtigungen zum Bereitstellen virtueller Maschinen könnten darüber Informationen auslesen oder einen Denial-of-Service des Hostprozesses verursachen. Unter Workstation und Fusion beschränkt sich die Auswirkung laut Hersteller auf die Offenlegung von Informationen.

Die fünfte Schwachstelle CVE-2026-41709 betrifft eine unzureichende Protokollierung in ESXi. Ein böswilliger Administrator könnte bestimmte Aktionen durchführen, ohne dass diese ordnungsgemäß in den Protokollen erscheinen.

Aktualisierungen stehen bereit

Für vSphere 8 beheben vCenter 8.0 Update 3k und ESXi 8.0 Update 3k die kritischen Schwachstellen. In Umgebungen der Version 9 sollten Administratoren folgende Versionen einspielen:

vCenter 9.1.0.0300
vCenter 9.0.2.0100
ESXi 9.1.0.0200
ESXi 9.0.2.0100

Nutzer von VMware Workstation und Fusion 25H2 sollten auf Version 26H1 wechseln. Für ältere Installationen von VMware Cloud Foundation sowie für Telco-Cloud-Umgebungen stellt Broadcom teilweise separate oder asynchrone Patches bereit.

Workarounds nennt der Hersteller für keine der fünf Schwachstellen. Eine Beschränkung des Netzwerkzugriffs auf vCenter reduziert zwar die Angriffsfläche, ersetzt jedoch nicht die Installation der Sicherheitsupdates. Insbesondere von außen erreichbare oder in umfangreichen internen Netzen zugängliche vCenter-Systeme sollten Administratoren deshalb mit hoher Priorität aktualisieren.

Weitere Informationen finden sich im Security Advisory VMSA-2026-0006 von Broadcom.