Broadcom, VMware'de Kimlik Doğrulama Atlatma ve Sanal Makineden Ana Sisteme Kaçışa Yol Açan Kritik Açıkları Giderdi

Broadcom, VMware vCenter, ESX, Workstation ve Fusion ürünlerinde tespit edilen beş güvenlik açığını gidermek amacıyla acil güvenlik güncellemeleri yayımladığını duyurdu. Şirket, açıkların VMware Cloud Foundation, VMware vSphere Foundation, VMware Telco Cloud Platform ve VMware Telco Cloud Infrastructure gibi vCenter veya ESX bileşenlerini kullanan diğer ürünleri de etkilediğini bildirdi.

Broadcom, güvenlik bülteninde yer alan düzeltilmiş sürümlerden önce yayımlanan tüm sürümlerin güvenlik açığına sahip kabul edilmesi gerektiğini belirterek, "Kuruluşların bu durumu acil değişiklik kapsamında değerlendirerek gerekli güncellemeleri en kısa sürede uygulaması gerekiyor." açıklamasında bulundu.

Üç Kritik Güvenlik Açığı Öne Çıkıyor

Şirketin yayımladığı güvenlik bültenine göre CVE-2026-59309, VMware Directory Service bileşeninde bulunan 9,8 CVSS puanına sahip kritik bir kimlik doğrulama atlatma açığı olarak sınıflandırıldı. Ağ erişimine sahip kimliği doğrulanmamış bir saldırganın, vCenter sistemine yetkisiz erişim sağlayabileceği belirtildi.

CVE-2026-59310 numaralı diğer kritik açık ise vCenter Syslog sunucusundaki dizin geçişi (directory traversal) zafiyetinden kaynaklanıyor. Broadcom, bu açığın uzaktan kod çalıştırılmasına imkân tanıyabileceğini ifade etti.

Üçüncü kritik açık olan CVE-2026-47876, VMXNET3 sanal ağ bağdaştırıcısında tespit edildi. 9,3 CVSS puanına sahip güvenlik açığının, sanal makine içerisindeki yerel yönetici yetkilerine sahip bir saldırgan tarafından kullanılarak ESX ana sisteminde kod çalıştırılmasına ve sanal makineden ana sisteme kaçışa (VM Escape) yol açabileceği aktarıldı. Broadcom, yalnızca VMXNET3 kullanan sanal makinelerin bu açıktan etkilendiğini kaydetti.

Diğer Güvenlik Açıkları ve Güncellemeler

Broadcom, CVE-2026-41703 numaralı açığın ESX, Workstation ve Fusion ürünlerini etkilediğini, bilgi sızdırma veya hizmet reddi saldırılarına neden olabileceğini açıkladı. CVE-2026-41709 ise kayıt mekanizmasındaki yetersizlik nedeniyle bazı işlemlerin günlük kayıtlarına yansımamasına neden olabiliyor.

Şirket, kritik açıkların vCenter 9.1.0.0300, 9.0.2.0100 ve 8.0 Update 3k sürümlerinde giderildiğini bildirdi. ESX tarafındaki düzeltmeler ise ESXi 9.1.0.0200, ESXi 9.0.2.0100 ve ESXi 8.0 Update 3k sürümlerinde yayımlandı.

VMware Workstation ve Fusion kullanıcılarının ise 25H2 sürümünden 26H1 sürümüne yükseltme yapmaları gerektiği belirtildi.

"Alternatif Çözüm Bulunmuyor"

Broadcom, söz konusu güvenlik açıkları için herhangi bir geçici çözüm (workaround) bulunmadığını açıkladı. Şirket ayrıca sanal makinelerin VMXNET3 ağ bağdaştırıcısından farklı bir sanal ağ adaptörüne geçirilmesini de önermedi.

Broadcom, "Bu güvenlik sorunları ITIL metodolojileri kapsamında acil değişiklik niteliğindedir ve kuruluşların vakit kaybetmeden gerekli adımları atması gerekmektedir." ifadelerini kullandı.

Güncelleme Sürecinde Hizmet Kesintileri Yaşanabilir

Broadcom, vCenter güncellemesi sırasında vSphere Client ve diğer yönetim arayüzlerine erişimin geçici olarak kesileceğini, ancak çalışan sanal makineler ile konteynerlerin faaliyetlerini sürdüreceğini bildirdi.

ESXi güncellemelerinde ise sunucuların yeniden başlatılması gerektiği belirtilirken, yöneticilere vMotion teknolojisini kullanarak sanal makineleri diğer sunuculara taşıma önerisinde bulunuldu. Taşınamayan sanal makinelerin yeniden başlatma işlemi sırasında kapatılması gerektiği ifade edildi.

Şirket ayrıca yeni yamaların bazı VMware Cloud Foundation yükseltmelerinde sürüm uyumluluğu sorunlarına neden olabileceğini, bu uyumluluğun ilerleyen sürümlerde yeniden sağlanacağını açıkladı.

Saldırı Tespit Edilmedi Ancak Risk Yüksek

Broadcom, yayımlanan güvenlik bültenindeki açıkların aktif olarak istismar edildiğine dair herhangi bir bulgu bulunmadığını bildirdi. Bununla birlikte şirket, VMware altyapılarının fidye yazılımı grupları ve devlet destekli tehdit aktörleri tarafından sıkça hedef alındığını hatırlatarak sistem yöneticilerine güncellemeleri gecikmeden yüklemeleri çağrısında bulundu.

Kaynak: Beykozun Sesi