VMware ESX: un fallo «bajo» que permite no dejar rastro entra en el catálogo de vulnerabilidades explotadas de CISA

1. Qué ha ocurrido

El 29 de julio, Broadcom publicó el aviso VMSA-2026-0006, con correcciones para cinco fallos en ESX, vCenter, Workstation y Fusion. Tres eran críticos. Entre los cinco estaba el CVE-2026-41709, de «registro insuficiente» en ESX, atribuido a Ian Barton, de CrowdStrike. El aviso, revisado por última vez el 19 de agosto, no menciona explotación.

El 28 de octubre, CISA lo incluyó en su catálogo de vulnerabilidades explotadas, junto con un fallo del núcleo de Linux (CVE-2026-46300) que no guarda relación con él. La alerta de CISA solo da el título del fallo y no describe los ataques. Según la prensa especializada, el plazo para las agencias federales de EE. UU. es el 11 de noviembre, pero esa fecha no figura en la página de la alerta.

El mismo día, CrowdStrike publicó su informe sobre amenazas al sector jurídico, que cubre del 1 de septiembre de 2025 al 31 de agosto de 2026, y atribuye a un grupo concreto el uso del fallo como día cero.

2. Qué es el fallo

Según Broadcom, un administrador malintencionado puede realizar ciertas operaciones en ESX sin que se registren. La empresa lo puntúa con 2,7 sobre 10 y no detalla qué operaciones quedan sin registrar.

3. Quién lo ha usado, según CrowdStrike

CrowdStrike afirma que el grupo WARP PANDA, al que describe como vinculado a China, ha intervenido en varias intrusiones contra entidades de EE. UU., entre ellas del sector jurídico, y que desplegó varios tipos de programas maliciosos en entornos VMware vCenter de las víctimas. En varios de esos casos, hasta principios de 2026, usó el CVE-2026-41709 como día cero, es decir, antes de que existiera corrección.

La atribución es de CrowdStrike. La alerta de CISA no describe ni atribuye los ataques. CrowdStrike, en el texto que hemos podido consultar, no nombra los programas maliciosos ni explica cómo funcionaba el abuso del fallo.

4. «Baja» no es lo mismo que «sin riesgo»

Las dos valoraciones responden a preguntas distintas. Broadcom puntúa el fallo en sí, y como exige ser administrador, sale una puntuación baja. CISA no puntúa: incluye en su catálogo lo que tiene evidencias de explotación, sea cual sea su puntuación. Un fallo que ayuda a no dejar rastro puede ser útil para quien ya tiene acceso de administrador. Es una lectura nuestra de la descripción, no una conclusión de las fuentes.

5. Qué corregir

Broadcom no lista soluciones provisionales: hay que instalar las compilaciones corregidas. Para este fallo concreto, el aviso indica:

El aviso no incluye una corrección para ESX 7.0 en este fallo. Para los críticos del mismo aviso, indica contactar con Broadcom si se tiene un contrato de soporte ampliado.

1. 1

   Haz inventario de tus ESX y vCenter

   Anota qué versión y compilación tiene cada uno. Es el primer dato que te pedirá cualquier proveedor.
2. 2

   Instala las correcciones de VMSA-2026-0006

   Empieza por lo que sea accesible desde fuera o tenga más usuarios. Elige la compilación que corrige también los fallos críticos de tu versión.
3. 3

   Revisa quién tiene acceso de administrador

   Recomendación general nuestra: deja solo las cuentas necesarias, restringe el acceso a la red de gestión y activa la verificación en dos pasos donde se pueda.
4. 4

   No dependas solo de los registros del equipo

   Recomendación general nuestra: si el servidor estuvo sin corregir, los registros locales pueden no contar toda la historia. Si hay sospechas, pide ayuda a especialistas.

6. En España

INCIBE-CERT publicó el 30 de julio el aviso INCIBE-2026-518, con importancia 5 (crítica), que recoge los cinco fallos del aviso de Broadcom y recomienda actualizar. En su ficha, el CVE-2026-41709 figura con severidad baja y sin explotación, algo coherente con la fecha del aviso: es anterior al anuncio de CISA. No hemos encontrado datos sobre empresas españolas afectadas.

7. Qué sabemos, qué no y qué son hipótesis

8. Qué significa para tu empresa

Si tienes servidores virtualizados con VMware, sea en tu oficina o en un proveedor, tres ideas sirven:

• No ordenes los avisos solo por la puntuación. Un fallo «bajo» puede acabar en el catálogo de explotados. Lo que importa es si se está usando y qué tienes expuesto.
• Aplica los avisos del fabricante completos. Aquí, un solo aviso de julio traía cinco correcciones, tres críticas.
• Controla quién administra. Para aprovechar este fallo hace falta ya una cuenta con privilegios, y limitarlas reduce el riesgo. Lo explicamos en la guía de ciberseguridad para PYMEs y en la guía de NIS2.

Preguntas frecuentes

Información actualizada a 29 de octubre de 2026 a partir del aviso de Broadcom, la alerta de CISA y el blog de CrowdStrike. No hemos podido consultar el informe completo de CrowdStrike. Si hay novedades, actualizaremos este artículo.