VMware ESX : une faille de journalisation au catalogue KEV

L'agence américaine de cybersécurité CISA a ajouté le 28 octobre 2026 la vulnérabilité VMware ESX CVE-2026-41709 à son catalogue des failles activement exploitées (KEV). Le cas est inhabituel : Broadcom ne lui attribue qu'un score CVSS de 2,7 sur 10. La faille ne donne pas d'accès à un attaquant, mais lui permet d'agir sans laisser de traces. Les agences fédérales américaines ont jusqu'au 11 novembre pour appliquer le correctif.

Une faille qui empêche de tracer les actions

CVE-2026-41709 est une faille de journalisation insuffisante (CWE-778) dans l'hyperviseur ESX. D'après le bulletin VMSA-2026-0006 de Broadcom, un administrateur malveillant peut réaliser certaines opérations sans qu'elles soient enregistrées dans les journaux. La faille a été signalée par Ian Barton, de CrowdStrike.

Prise isolément, elle est peu dangereuse puisqu'elle suppose déjà des droits d'administration sur l'hôte. Son intérêt pour un attaquant est ailleurs : une fois l'hyperviseur compromis, elle aide à masquer ses actions et complique le travail de détection et d'investigation. C'est ce qui explique qu'une faille classée « faible » puisse figurer parmi les vulnérabilités à corriger en priorité. La CISA indique ne pas savoir à ce stade si elle est utilisée dans des campagnes de rançongiciels.

Un bulletin publié en juillet

Le bulletin VMSA-2026-0006 date du 29 juillet 2026 et a été mis à jour en août. Il regroupe cinq vulnérabilités, dont deux failles critiques notées 9,8 dans vCenter (CVE-2026-59309, contournement d'authentification, et CVE-2026-59310, traversée de répertoires) et une faille critique notée 9,3 dans l'adaptateur réseau virtuel VMXNET3 d'ESX (CVE-2026-47876). Lors de sa publication, Broadcom indiquait que ces failles lui avaient été signalées de manière privée. Aucun contournement n'existe pour aucune d'elles.

L'inscription au catalogue KEV, réservée aux failles pour lesquelles la CISA dispose d'éléments d'exploitation, montre que ce bulletin vieux de trois mois n'a pas été appliqué partout. Les administrateurs qui l'auraient laissé de côté en raison de la faible note de CVE-2026-41709 ont tout intérêt à le reprendre en entier.

Les versions corrigées

Broadcom liste les versions suivantes pour CVE-2026-41709 :

• ESX 9.1.x (VMware Cloud Foundation et vSphere Foundation) : ESXi-9.1.0.0-25370933 ;
• ESX 9.0.x : ESXi-9.0.2.0100-25595025 ;
• ESX 8.0 : ESXi80U3j-25429389 ;
• VMware Cloud Foundation 5.x : version 5.2.4, selon le guide de correctifs asynchrones KB88287 ;
• Telco Cloud Platform 5.0.x et 5.1.x : article KB449886.

Ce qu'il faut faire

La priorité est de vérifier le niveau de correctif de chaque hôte ESX et de chaque vCenter, puis d'appliquer l'intégralité du bulletin. Comme le rappelle notre article sur la faille Magento PolyShell, le catalogue KEV est un bon outil de priorisation, y compris hors des administrations américaines.

Sur un hyperviseur, il est aussi utile d'exporter les journaux vers un serveur syslog ou un SIEM externe, et de restreindre l'accès aux comptes d'administration ESX. Les équipes qui soupçonnent une compromission ne doivent pas se fier aux seuls journaux de l'hôte et recouper avec les traces réseau et celles de vCenter.