Seguir 
Broadcom ha lanzado actualizaciones de seguridad de emergencia para una vulnerabilidad crítica de VMware ESXi que puede permitir a un atacante escapar de una máquina virtual y ejecutar código en el servidor hipervisor subyacente. Con el seguimiento CVE-2026-47876 y una puntuación de 9.3 en la escala CVSS, el problema reside en el adaptador de red VMXNET3.
La explotación exitosa requiere que el atacante ya tenga privilegios administrativos locales dentro de una máquina virtual invitada configurada con VMXNET3. Desde esa posición, el atacante puede activar una escritura fuera de límites y cruzar la barrera de aislamiento entre el invitado y el host ESX.
Esta vulnerabilidad de escape de la VM es particularmente grave en entornos de virtualización de múltiples inquilinos, nube y empresariales. La compromisión del hipervisor puede exponer otras máquinas virtuales, datos de gestión, cargas de trabajo de aplicaciones y secretos de infraestructura ubicados en el mismo host.
Broadcom no ha encontrado evidencia de que la falla haya sido explotada en la naturaleza. Sin embargo, no hay soluciones alternativas disponibles, y la compañía clasifica las actualizaciones como un cambio de emergencia que requiere acción inmediata.
Análisis de CVE-2026-47876
La vulnerabilidad es una escritura fuera de límites en la implementación del adaptador de red virtual VMXNET3 en el lado ESX de la comunicación con una máquina invitada. VMXNET3 es un adaptador de red de alto rendimiento que se usa comúnmente en entornos VMware para proporcionar un mejor rendimiento y menor sobrecarga que los dispositivos de red emulados.
Un atacante debe primero obtener privilegios de administrador local o nivel root dentro de una máquina virtual que utilice VMXNET3. Luego, el actor malicioso puede interactuar con el adaptador virtual de una manera que provoca que los datos se escriban más allá del límite de memoria previsto en el componente del lado del host.
La corrupción de memoria dentro del proceso del hipervisor puede permitir al atacante ejecutar código arbitrario en el host ESX. Esto rompe una de las garantías centrales de seguridad de la virtualización: el código que se ejecuta dentro de un invitado debe permanecer aislado del hipervisor y de otras cargas de trabajo.
CVE-2026-47876 afecta a los siguientes bloques de productos VMware admitidos cuando ejecutan compilaciones anteriores a las versiones corregidas:
- VMware Cloud Foundation y VMware vSphere Foundation ESX 9.1.x
- VMware Cloud Foundation y VMware vSphere Foundation ESX 9.0.x
- VMware ESXi 8.0
- VMware Cloud Foundation 5.x
- Plataforma VMware Telco Cloud 5.0.x y 5.1.x
Las máquinas virtuales configuradas con otros adaptadores de red virtuales no son vulnerables a través de esta ruta de ataque específica. Sin embargo, Broadcom no recomienda cambiar a adaptadores como e1000 como medida de seguridad a largo plazo porque los adaptadores emulados tienen su propio historial de vulnerabilidades y carecen de los beneficios de rendimiento de los controladores paravirtualizados.
Los detalles más importantes para CVE-2026-47876 conciernen el requisito de privilegios y la barrera de seguridad que se cruza. La falla no es directamente explotable por un atacante de internet no autenticado. Se vuelve valiosa después de que un adversario ya haya comprometido una máquina invitada y obtenido control administrativo dentro de ella.
Esto hace que el error sea bien adecuado para intrusiones en varias etapas. Un atacante podría inicialmente comprometer una aplicación vulnerable, robar credenciales con privilegios o explotar otra falla a nivel de invitado antes de usar la debilidad de ESXi para escapar de la máquina virtual y apuntar al host.
El problema fue reportado privadamente por Nguyen Hoang Thach de STARLabs SG a través de la competencia Pwn2Own operada por la Iniciativa de Día Cero de Trend Micro. Las fuentes citadas no identifican un CVE-2026-47876 PoC públicamente disponible, y Broadcom no ha reportado explotación activa.
Tampoco hay IOC publicados por el proveedor para CVE-2026-47876. Dado que la explotación ocurre a través de interacciones entre un invitado privilegiado y el adaptador virtual, los defensores no deben esperar un archivo malicioso, dirección IP o patrón de solicitud web que identifique de manera confiable el abuso.
Mitigación de CVE-2026-47876
Broadcom afirma que no hay soluciones alternativas que aborden completamente la falla. Las organizaciones deben actualizar ESX a una compilación corregida en lugar de confiar en cambios de configuración de VM o en reemplazar VMXNET3 con otro adaptador.
Las versiones corregidas relevantes incluyen:
- ESX 9.1.x: ESXi-9.1.0.0200-25557999
- ESX 9.0.x: ESXi-9.0.2.0100-25595025
- VMware ESXi 8.0: ESXi80U3k-25595708
- VMware Cloud Foundation 5.x: Aplique el parche asíncrono correspondiente
- VMware Telco Cloud Platform 5.0.x y 5.1.x: Siga la guía de actualización específica de la rama del proveedor
Broadcom señala que los parches lanzados públicamente son acumulativos, por lo que los administradores pueden instalar la compilación corregida listada o una versión más reciente compatible que contenga la misma corrección de seguridad.
La detección de CVE-2026-47876 debe comenzar con un inventario de los hosts ESX y sus números de compilación. Los administradores pueden ver la información de compilación en la pestaña Resumen del Cliente vSphere o consultar hosts a través de PowerCLI:
Get-VMHost | Select-Object Name,Version,Build
Los equipos de seguridad deben identificar máquinas virtuales que usen VMXNET3 y priorizar hosts que ejecuten cargas de trabajo desconocidas, expuestas a Internet, de desarrollo, controladas por el cliente o de múltiples inquilinos. El uso de VMXNET3 no indica por sí mismo un compromiso, pero confirma que la ruta de ataque vulnerable puede estar disponible en un host sin parchar.
Para detectar abuso de CVE-2026-47876, los defensores deben monitorear actividades sospechosas que precedan a una posible fuga, incluyendo:
- Adquisición inesperada de privilegios administrativos dentro de una VM invitada
- Actividad inusual a nivel de kernel o controlador que involucre redes virtuales
- Inestabilidad del proceso VMX o fallos inexplicables de los procesos del host
- Cambios no autorizados en la configuración del host ESX
- Nuevos procesos o conexiones a nivel de host después de comprometer una invitada
- Acceso desde el hipervisor a otras máquinas virtuales o sistemas de gestión
- Intentos de deshabilitar el registro o controles de seguridad en el host
Las organizaciones deben tratar cualquier compromiso confirmado a nivel de administrador invitado en un host habilitado para VMXNET3 sin parchar como un posible incidente de hipervisor. La respuesta al incidente debe incluir la revisión del host ESX, cargas de trabajo vecinas, actividad de vCenter, cuentas privilegiadas y credenciales de infraestructura en lugar de investigar solo la invitada original.
Aplicar la actualización puede requerir un reinicio del host ESX. Broadcom recomienda usar vMotion para reubicar cargas de trabajo a hosts alternativos y actualizar clústeres a través de un proceso de reinicio en secuencia. Las máquinas virtuales que no puedan ser migradas deben apagarse durante el reinicio del host.
Los entornos elegibles también pueden usar ESX Live Patch para reducir la interrupción. Los administradores deben consultar las notas de la versión de su rama de producto para confirmar si el parche en vivo es compatible con las compilaciones de origen y destino seleccionadas.
Actualizar VMware Tools dentro del invitado no soluciona este problema. Aunque VMXNET3 incluye un controlador en el huésped, el código vulnerable está en el lado ESX, por lo que el propio hipervisor debe ser actualizado.
FAQ
¿Qué es CVE-2026-47876 y cómo funciona?
CVE-2026-47876 es una vulnerabilidad crítica de escritura fuera de límites en la implementación del adaptador de red virtual VMXNET3 en VMware ESX. Un atacante con privilegios administrativos dentro de una VM usando VMXNET3 puede provocar corrupción de memoria y ejecutar código en el host del hipervisor.
¿Cuándo se descubrió por primera vez CVE-2026-47876?
La fecha de descubrimiento privado no ha sido divulgada públicamente. Broadcom acredita a Nguyen Hoang Thach de STARLabs SG, trabajando a través de la competencia Pwn2Own y la Iniciativa de Día Cero de Trend Micro, por reportar el problema. El proveedor publicó el aviso y las actualizaciones de seguridad el 29 de julio de 2026.
¿Cuál es el impacto de CVE-2026-47876 en los sistemas?
La explotación exitosa puede permitir a un administrador malicioso dentro de una VM invitada escapar del entorno virtualizado y ejecutar código arbitrario en el host ESX. Esto puede exponer el hipervisor, otras máquinas virtuales hospedadas, datos de infraestructura sensibles y sistemas de gestión conectados.
¿Puede CVE-2026-47876 seguir afectándome en 2026?
Sí. Los entornos VMware siguen expuestos si ejecutan compilaciones anteriores a las versiones corregidas y tienen una máquina virtual configurada con VMXNET3. Las ramas no soportadas de VMware también deben ser consideradas vulnerables a menos que el proveedor o un proveedor de soporte extendido lo confirme de otra manera.
¿Cómo puedo protegerme de CVE-2026-47876?
Instale inmediatamente la compilación corregida de ESX de Broadcom, verifique que la versión parcheada esté activa y priorice los hosts que ejecutan cargas de trabajo de invitados de alto riesgo o no confiables. No hay una solución alternativa completa, y no se recomienda cambiar el adaptador de red virtual como sustituto de la actualización del hipervisor.
