A Broadcom apresentou o VMware HyperArmor, um produto de segurança para o hipervisor ESX que permite às equipas de TI ganhar tempo face ao número crescente de correções. A novidade surge depois de a VMware ter passado a publicar atualizações de segurança todos os meses para o VMware Cloud Foundation (VCF) 9.1. A empresa justifica esta mudança com o uso de inteligência artificial, tanto por quem procura vulnerabilidades como por quem as explora. O anúncio foi feito na VMware Explore, em Frankfurt, e o HyperArmor visa duas vias de entrada comuns em infraestruturas virtualizadas: credenciais root roubadas e vulnerabilidades por corrigir.
Resposta rápida: A VMware passou a lançar Express Patches mensais para o VCF 9.1, e muitos clientes têm dificuldade em testá-los a tempo. A Broadcom criou o HyperArmor, um extra pago que oferece virtual patching no ESX, uma lista de processos autorizados e MFA no acesso SSH. A ferramenta não substitui a aplicação das correções oficiais. Quem gere ambientes VMware deve manter o ciclo mensal de atualizações, limitar o acesso SSH aos hosts e acompanhar os avisos VMSA.
Da cadência trimestral para a mensal
A mudança começou a ser anunciada em maio. Na altura, a Broadcom revelou que está a analisar os produtos VCF ainda suportados com modelos de IA de fronteira especializados em segurança. Também avisou que, a curto prazo, os clientes do VCF 9.1 podem contar com um ritmo mais acelerado de entrega de correções. Para versões anteriores, como o vSphere 8.x, o VCF/VVF 5.x e o VCF 9.0, as correções continuam a sair no calendário habitual, segundo os processos normais de avisos de segurança da Broadcom.
Na prática, os Express Patches são publicados mensalmente e descarregados e aplicados através do VCF Operations. Segundo a documentação técnica da VMware, estas correções são lançadas, versionadas e aplicadas por componente, sem exigir uma sequência de instalação específica, e a versão mais recente de cada componente é sempre cumulativa. Para reduzir as paragens, o VCF 9.1 usa o Live Patching no ESX e o Quick Patching no vCenter.
Numa sessão técnica recente, a Broadcom descreveu um roteiro do VCF reorientado em torno da segurança, com Express Patches mensais e versões trimestrais como a 9.1.1. Admitiu ainda que uma data mensal previsível para as correções é um objetivo que ainda está a tentar alcançar.
O problema: as equipas não conseguem testar tudo a tempo
Prashanth Shenoy, vice-presidente de marketing de produto da divisão VCF da Broadcom, falou ao The Register sobre esta dificuldade. Reconheceu que os utilizadores já tinham dificuldade em acompanhar o ritmo antes da passagem a versões mensais, porque testar o impacto das correções leva tempo, mesmo com o live patching sem interrupções do VCF.
Ram Velaga, presidente do Infrastructure Software Group da Broadcom, deu um contexto semelhante à Computer Weekly. Segundo ele, a chegada do Mythos, um modelo de IA da Anthropic capaz de encontrar vulnerabilidades em código, levou os clientes a corrigir com mais frequência. A empresa espera que mais de metade da base instalada da VMware, medida em núcleos de processador, esteja a usar o VCF 9 no final de 2027.
O que faz o HyperArmor
Segundo o comunicado oficial da Broadcom, o HyperArmor funciona com o VMware ESX 8.x e versões posteriores e tem três componentes:
- Virtual patching no host: deteta e bloqueia ações maliciosas nos nós ESX antes de uma vulnerabilidade poder ser explorada. Esta proteção completa o virtual patching ao nível da rede que o VMware vDefend já oferecia.
- Lista positiva de processos: a ferramenta define uma base de segurança positiva e bloqueia automaticamente qualquer executável ou script não autorizado. Os scripts que já existem no host são inventariados e permitidos, e os administradores podem aprovar novos.
- MFA no hipervisor: o MFA passa a fazer parte do login SSH do ESX. É preciso introduzir as credenciais SSH e depois uma palavra-passe temporária (TOTP) associada a uma identidade definida à parte.
A Broadcom diz que o objetivo é dar margem às equipas de operações. Como o virtual patching do ESX não exige reinícios nem atualizações de software, as equipas de TI ganham flexibilidade para testar e aplicar as correções oficiais quando lhes for mais conveniente. O HyperArmor é um produto separado, vendido como extra ao VCF. Foi desenvolvido pelas unidades de segurança da Broadcom, a Symantec e a Carbon Black. O facto de o MFA no acesso ao ESX vir num produto pago foi criticado na imprensa especializada. A Broadcom ainda não divulgou preços.
Cronologia: um ano com correções críticas
Em 2026, a VMware publicou vários avisos de segurança graves, o que ajuda a perceber a pressão sobre as equipas de operações:
| Data | Acontecimento |
|---|---|
| 11 maio 2026 | A Broadcom anuncia a análise do VCF com modelos de IA e um ritmo de correções mais acelerado para o 9.1 |
| 4 junho 2026 | Express Patch 9.1.0.0100 para o VCF 9.1 |
| 29 julho 2026 | VMSA-2026-0006: falhas críticas no ESX e no vCenter |
| setembro 2026 | VMSA-2026-0007: Workstation e Fusion (CVE-2026-59346, CVE-2026-59347) |
| 13 outubro 2026 | Apresentação do HyperArmor na VMware Explore, em Frankfurt |
O aviso de julho foi o mais grave. Inclui as vulnerabilidades CVE-2026-59309 e CVE-2026-59310 no vCenter Server, ambas com pontuação CVSSv3.1 de 9,8 e exploráveis por atacantes não autenticados com acesso de rede. Inclui também a CVE-2026-47876, uma escrita fora dos limites no adaptador de rede virtual VMXNET3 do ESX. Um atacante com privilégios de administrador local numa VM que use este adaptador pode executar código no host. Mais tarde, o NHS England avisou que investigadores observaram a exploração da CVE-2026-59310, com um atacante a usar SSH reverso para manter acesso a sistemas vCenter comprometidos.
| CVE | Produto | Tipo | CVSS |
|---|---|---|---|
CVE-2026-59309 | vCenter | Bypass de autenticação | 9,8 |
CVE-2026-59310 | vCenter | Directory traversal / execução de código | 9,8 |
CVE-2026-47876 | ESX | Escrita fora dos limites (fuga de VM) | 9,8 |
CVE-2026-59346 | Workstation/Fusion | Integer overflow (VMXNET3) | 9,3 |
CVE-2026-59347 | Workstation/Fusion | Stack buffer overflow (HGFS) | 8,1 |
O que devem fazer as equipas de TI
Com ou sem HyperArmor, as recomendações básicas são as mesmas. A Broadcom aconselha quem tem instalações existentes a atualizar para a versão 9.1 o mais depressa possível. Medidas práticas a considerar:
- Subscrever as notificações de avisos de segurança da Broadcom (VMSA) e definir um processo mensal de testes e aplicação de correções.
- No VCF 9.1, procurar e descarregar os Express Patches em
Build > Lifecycleno VCF Operations e correr as pré-verificações antes de aplicar. - Confirmar que o vCenter tem as correções do
VMSA-2026-0006, tendo em conta que já há exploração ativa registada. - Atualizar o Workstation e o Fusion para
26H1u1ou superior. - Isolar as redes de gestão, desativar o SSH nos hosts ESX quando não for preciso e proteger muito bem as credenciais root.
O virtual patching ajuda a reduzir o período de exposição, mas não corrige o código vulnerável. Deve ser usado como medida temporária e não como alternativa a corrigir.
Porque é que isto importa em Portugal
Os hipervisores VMware são muito usados em centros de dados de empresas, da Administração Pública e de prestadores de serviços geridos em Portugal. Grupos de ransomware visam frequentemente os hosts ESX, porque um único servidor comprometido pode cifrar dezenas de máquinas virtuais de uma vez. Por isso, a gestão de vulnerabilidades no hipervisor não é apenas um tema técnico.
Para as entidades abrangidas pelo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a NIS2), a gestão de vulnerabilidades, o controlo de acessos privilegiados e a autenticação multifator fazem parte das medidas de gestão de risco esperadas. Um ritmo mensal de correções obriga a rever processos de manutenção e janelas de testes. Quando há dados pessoais em máquinas virtuais comprometidas, aplicam-se também as obrigações de notificação previstas no RGPD. As organizações devem acompanhar os alertas do CNCS/CERT.PT e comunicar incidentes significativos nos prazos legais.
Para PME e prestadores de serviços que alojam infraestrutura de clientes, há também uma questão de custos. Uma funcionalidade como o MFA no acesso SSH ao hipervisor chega agora num produto pago à parte. Cada organização terá de ponderar se compensa pagá-lo ou se consegue chegar a um nível de proteção semelhante com controlos de rede e de acesso que já tenha.
Perguntas frequentes
O que é o VMware HyperArmor?
É um produto de segurança da Broadcom para o hipervisor ESX do VMware Cloud Foundation. Junta virtual patching no host, uma lista positiva de processos autorizados e MFA no acesso SSH. Funciona com ESX 8.x e versões posteriores e é vendido como extra.
O virtual patching substitui as atualizações oficiais?
Não. O virtual patching bloqueia tentativas de exploração sem alterar o software vulnerável. Serve para reduzir a exposição enquanto as correções oficiais são testadas, mas é preciso aplicá-las na mesma.
Com que frequência a VMware publica correções para o VCF?
No VCF 9.1, a Broadcom publica Express Patches mensais, que são cumulativos por componente e aplicados através do VCF Operations. As versões anteriores mantêm o calendário habitual de avisos de segurança.
Que vulnerabilidades VMware devo corrigir com prioridade?
As do aviso VMSA-2026-0006, sobretudo a CVE-2026-59309 e a CVE-2026-59310 no vCenter, ambas com CVSS 9,8. Já foi observada exploração ativa da CVE-2026-59310.
Leia também
- VMware volta a corrigir falhas críticas: uma delas deixa fugir da máquina virtual
- Cinco dias após o patch, o seu vCenter já podia estar nas mãos de intrusos
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Broadcom/VMware, pelo Canadian Centre for Cyber Security, pelo NHS England Digital e pela Rapid7.