A Broadcom voltou a publicar um conjunto de correções de segurança para várias das suas soluções VMware, incluindo falhas de gravidade crítica que afetam o vCenter Server e o hipervisor ESX. Entre os problemas resolvidos está uma vulnerabilidade que permite «fugir» de uma máquina virtual (VM escape) e executar código diretamente no anfitrião físico, um dos cenários mais temidos em ambientes de virtualização. O aviso oficial, identificado como VMSA-2026-0006, foi divulgado a 29 de julho de 2026 e abrange VMware ESX, vCenter, Workstation e Fusion, bem como produtos que os incorporam, como o VMware Cloud Foundation e o vSphere Foundation.
Resposta rápida: A Broadcom corrigiu cinco vulnerabilidades em produtos VMware no aviso VMSA-2026-0006. A mais grave é um contorno de autenticação no vCenter Server; outra permite fuga da máquina virtual através do adaptador de rede VMXNET3. Quem administra ESX, vCenter, Workstation ou Fusion deve aplicar as atualizações com a maior brevidade, dando prioridade aos ambientes expostos à Internet.
O que foi corrigido no aviso VMSA-2026-0006
De acordo com o aviso da VMware, a atualização VMSA-2026-0006 resolve cinco vulnerabilidades identificadas como CVE-2026-59309, CVE-2026-59310, CVE-2026-47876, CVE-2026-41703 e CVE-2026-41709. As falhas afetam múltiplos produtos do portefólio VMware e distinguem-se pela natureza técnica e pelo tipo de acesso que exigem para serem exploradas.
Segundo a análise pública dos detalhes técnicos, a falha mais grave é o CVE-2026-59309, um contorno de autenticação (authentication bypass) que reside no VMware Directory Service, permitindo a um atacante remoto na rede enviar pedidos manipulados para contornar as verificações de autenticação normais. Já o CVE-2026-59310 é uma falha de travessia de diretório (directory traversal) no servidor Syslog, que pode ser usada para ler ou escrever ficheiros de forma não autorizada e conduzir, em última análise, à execução de código no sistema afetado.
A vulnerabilidade que mais interessa a quem opera hipervisores é o CVE-2026-47876. Trata-se de uma escrita fora dos limites de memória (out-of-bounds write) no adaptador de rede virtual VMXNET3, que um atacante com privilégios administrativos numa máquina virtual pode explorar para executar código diretamente no anfitrião ESXi. A VMware sublinha que os adaptadores virtuais que não sejam do tipo VMXNET3 não são afetados por esta falha. Este comportamento configura exatamente uma fuga da máquina virtual — cenário em que o isolamento entre a VM comprometida e o anfitrião deixa de existir.
O conjunto fica completo com duas falhas de menor impacto imediato: o CVE-2026-41703, uma leitura fora dos limites de memória que pode provocar uma condição de negação de serviço, e o CVE-2026-41709, uma vulnerabilidade de registo (logging) insuficiente.
Produtos e versões afetados
O aviso abrange um leque alargado de produtos. O software afetado inclui VMware ESX, vCenter, Workstation e Fusion, além de componentes vulneráveis no VMware Cloud Foundation e no vSphere Foundation, bem como no Telco Cloud Platform e no Telco Cloud Infrastructure. No caso específico do vCenter, requerem atualização as versões 9.1.x.x, 9.0.x.x e 8.0.
Quanto à remediação do vCenter Server, a VMware indica que se deve atualizar para as versões 9.1.0.0300, 9.0.2.0100 ou 8.0 U3k. O aviso recomenda que os administradores apliquem as atualizações mais recentes de imediato e consultem a matriz de correção oficial, uma vez que os patches são cumulativos. A entidade aconselha ainda a dar prioridade aos ambientes que alojam máquinas virtuais expostas à Internet.
Porque é que as fugas da máquina virtual são tão graves
Numa fuga da máquina virtual, um atacante que já tenha comprometido o sistema operativo convidado de uma VM e obtido privilégios elevados consegue sair desse ambiente controlado e assumir o controlo do hipervisor. O impacto é desproporcionado: com o anfitrião comprometido, todas as cargas de trabalho que correm nesse servidor ficam acessíveis ao atacante, incluindo servidores de outros clientes ou departamentos que partilhem o mesmo hardware físico.
O ESXi é, além disso, um alvo particularmente atrativo por ser um ambiente onde as ferramentas tradicionais de deteção têm pouca visibilidade. Investigadores têm alertado que o hipervisor funciona como uma «caixa preta», sem agentes de EDR habituais, o que significa que um atacante que consiga escapar para o anfitrião fica, na prática, fora do alcance da maioria das ferramentas de monitorização e pode aceder a dados sensíveis ou destruir informação sem desencadear alertas.
Um padrão recorrente no ecossistema VMware
As correções desta semana surgem num contexto em que o ESXi tem sido repetidamente atingido por falhas do mesmo tipo. Em março de 2025, a Broadcom lançou patches de emergência para três falhas — CVE-2025-22224, CVE-2025-22225 e CVE-2025-22226 — que permitiam a fuga da máquina virtual e que já estavam a ser exploradas ativamente. Esse trio, reportado pelo Microsoft Threat Intelligence Center, incluía uma falha crítica de pontuação CVSS 9.3 no VMCI.
Meses mais tarde, em janeiro de 2026, a empresa de cibersegurança Huntress reportou que um grupo de ameaça terá construído um exploit para essas três vulnerabilidades — batizadas «ESXicape» — mais de um ano antes da divulgação pública. Apesar da sofisticação da fuga, os atacantes obtiveram o acesso inicial através de um dispositivo VPN SonicWall comprometido, um lembrete de que a higiene de segurança básica continua a ser decisiva.
Também em julho de 2025, a VMware corrigiu três vulnerabilidades críticas (CVE-2025-41236, CVE-2025-41237 e CVE-2025-41238) que tinham sido exploradas como zero-days durante o concurso Pwn2Own Berlin 2025, uma delas precisamente no adaptador VMXNET3. O novo CVE-2026-47876 mostra que esse componente continua a merecer atenção redobrada.
Cronologia recente de falhas de fuga em VMware
| Data | Aviso | Destaque |
|---|---|---|
| Março 2025 | VMSA-2025-0004 | Trio «ESXicape» explorado em ataques reais (CVE-2025-22224/22225/22226) |
| Julho 2025 | VMSA-2025-0013 | Três falhas críticas exploradas no Pwn2Own Berlin (VMXNET3, VMCI, PVSCSI) |
| Janeiro 2026 | Relatório Huntress | Exploit «ESXicape» terá sido criado mais de um ano antes da divulgação |
| Julho 2026 | VMSA-2026-0006 | Contorno de autenticação no vCenter e fuga de VM via VMXNET3 |
Medidas de mitigação recomendadas
- Aplicar as atualizações do VMSA-2026-0006 com prioridade máxima, começando pelos anfitriões que alojam máquinas virtuais expostas à Internet e pelos servidores vCenter.
- Para o vCenter Server, atualizar para
9.1.0.0300,9.0.2.0100ou8.0 U3k, conforme a versão em uso. - Rever a matriz de correção oficial da Broadcom, tendo em conta que os patches são cumulativos.
- Restringir o acesso administrativo às máquinas virtuais e reforçar a segmentação de rede, para dificultar a escalada e o movimento lateral em caso de comprometimento.
- Proteger os pontos de entrada perimetrais (VPN, gateways) com autenticação forte e atualizações em dia, dado que muitos ataques a hipervisores começam por um acesso inicial banal.
Relevância para Portugal
A virtualização VMware é a espinha dorsal de muitos centros de dados de organizações portuguesas, incluindo administração pública, hospitais, operadores de telecomunicações e prestadores de serviços em nuvem. Uma fuga da máquina virtual pode expor simultaneamente dezenas de sistemas alojados no mesmo anfitrião, com potencial para paragens de serviço e fuga de dados pessoais.
Para as entidades abrangidas pelo Regime Jurídico da Cibersegurança (transposição da NIS2), a gestão célere de vulnerabilidades e a comunicação de incidentes ao CNCS/CERT.PT fazem parte das obrigações de segurança da informação. Caso a exploração destas falhas resulte em acesso a dados pessoais, aplicam-se também os deveres de notificação previstos no RGPD. Para PME que dependem de infraestrutura virtualizada, o episódio reforça uma lição simples: manter os hipervisores atualizados e reduzir a superfície de ataque não é opcional.
Perguntas frequentes
O que é uma fuga da máquina virtual (VM escape)?
É uma vulnerabilidade que permite a um atacante que já controla uma máquina virtual sair do ambiente isolado dessa VM e executar código no hipervisor ou anfitrião físico, ganhando potencialmente acesso a todas as outras máquinas virtuais que correm no mesmo servidor.
Que produtos VMware devo atualizar por causa do VMSA-2026-0006?
O aviso afeta VMware ESX, vCenter, Workstation e Fusion, além de componentes no Cloud Foundation, vSphere Foundation, Telco Cloud Platform e Telco Cloud Infrastructure. Deve consultar a matriz de correção oficial da Broadcom para identificar a versão de destino correspondente à sua instalação.
A minha máquina virtual está em risco pelo CVE-2026-47876?
A falha explora o adaptador de rede virtual VMXNET3 e exige privilégios administrativos dentro da máquina virtual. Segundo a VMware, os adaptadores virtuais que não sejam do tipo VMXNET3 não são afetados por esta vulnerabilidade específica.
Existe algum contorno se não puder aplicar já os patches?
A recomendação principal da VMware é aplicar as atualizações. Enquanto isso não acontece, deve reforçar o controlo de acessos administrativos às VM, isolar os anfitriões expostos à Internet e reforçar a monitorização, mas nada substitui a instalação das correções oficiais.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela VMware/Broadcom, pelo CERT-EU e por investigadores de cibersegurança.