VMware waarschuwt klanten vandaag voor twee kritieke kwetsbaarheden waardoor aanvallers toegang tot vCenter-servers kunnen krijgen. Er zijn updates uitgebracht om de problemen te verhelpen. Daarnaast is ook een kritiek beveiligingslek gepatcht waardoor aanvallers uit een virtual machine kunnen 'ontsnappen' en code op de onderliggende ESX-host kunnen uitvoeren.

VCenter is een oplossing voor het beheer van virtual machines en gevirtualiseerde servers en is in het verleden geregeld doelwit van aanvallen geweest. CVE-2026-59309 betreft een kwetsbaarheid waardoor een ongeauthenticeerde aanvaller de authenticatie kan omzeilen om zo toegang tot de vCenter-server te krijgen. Het tweede vCenter-probleem (CVE-2026-59310) betreft een kritiek path traversal-lek waardoor een ongeauthenticeerde aanvaller code op de vCenter-server kan uitvoeren. Beide problemen hebben een CVSS-impactscore van 9.8 op een schaal van 1 tot en met 10.

VMware heeft ook een kritieke kwetsbaarheid (CVE-2026-41703) in ESX verholpen die een 'virtual machine escape' mogelijk maakt. ESX is hypervisor-software voor het draaien van virtual machines. Een 'out-of-bounds write' kwetsbaarheid in de VMXNET3 virtuele netwerkadapter maakt het mogelijk voor een aanvaller, met adminrechten op een virtual machine met een VMXNET3-adapter, om code op de host uit te voeren. Dit probleem werd beoordeeld met een impactscore van 9.3.

Beveiligingslekken in producten van VMware zijn geregeld het doelwit van aanvallen. Op een overzicht van het Amerikaanse cyberagentschap CISA met actief aangevallen kwetsbaarheden staan 26 unieke beveiligingslekken van VMware. Het gaat onder andere om elf kwetsbaarheden in vCenter.