Broadcom Rilis Patch Darurat VMware untuk Tiga Kerentanan Kritis, Termasuk VM Escape
Broadcom merilis pembaruan keamanan darurat guna mengatasi lima kerentanan pada berbagai produk VMware, termasuk VMware vCenter, ESX, Workstation, dan Fusion.
Dari lima celah tersebut, tiga dikategorikan sebagai kritis karena memungkinkan penyerang melewati autentikasi, menjalankan kode arbitrer dari jarak jauh, hingga melakukan virtual machine (VM) escape, yaitu keluar dari mesin virtual untuk mengambil alih host fisik.
Broadcom mendesak seluruh organisasi yang masih menggunakan versi terdampak agar segera memasang pembaruan keamanan.
Sejumlah Produk VMware Ikut Terdampak
Kerentanan ini tidak hanya memengaruhi VMware vCenter dan ESX, tetapi juga berbagai produk lain yang menggunakan komponen tersebut, antara lain:
- VMware Cloud Foundation.
- VMware vSphere Foundation.
- VMware Telco Cloud Platform.
- VMware Telco Cloud Infrastructure.
Broadcom menyatakan bahwa seluruh instalasi yang menggunakan versi lebih lama dari yang telah diperbaiki harus dianggap rentan hingga pembaruan diterapkan.
Tiga Kerentanan Kritis
Broadcom merinci tiga kerentanan dengan tingkat keparahan tertinggi sebagai berikut.
1. CVE-2026-59309 – Bypass Autentikasi pada VMware Directory Service
Kerentanan ini memungkinkan penyerang tanpa autentikasi yang memiliki akses jaringan ke vCenter melewati mekanisme login dan memperoleh akses tidak sah ke sistem.
Celah ini memiliki skor CVSS 9.8.
2. CVE-2026-59310 – Eksekusi Kode Melalui Directory Traversal
Kerentanan kedua berada pada komponen vCenter Syslog Server.
Penyerang dari jarak jauh dapat memanfaatkan kelemahan ini untuk menjalankan kode arbitrer tanpa memerlukan autentikasi.
Kerentanan ini juga memperoleh skor CVSS 9.8.
3. CVE-2026-47876 – VM Escape pada Adapter VMXNET3
Kerentanan ketiga memungkinkan pengguna yang telah memiliki hak administrator di dalam mesin virtual menjalankan kode pada host ESX melalui adapter jaringan virtual VMXNET3.
Eksploitasi berhasil memungkinkan pelaku keluar dari lingkungan virtual menuju host fisik (VM Escape).
Kerentanan ini memiliki skor CVSS 9.3.
Broadcom menjelaskan bahwa mesin virtual yang menggunakan adapter jaringan selain VMXNET3 tidak terdampak oleh kerentanan ini.
Dua Kerentanan Tambahan
Selain tiga celah kritis tersebut, Broadcom juga memperbaiki dua kerentanan lain.
CVE-2026-41703 merupakan kerentanan out-of-bounds read yang memengaruhi ESX, Workstation, dan Fusion.
Pada ESX, celah ini dapat dimanfaatkan untuk membocorkan informasi atau menyebabkan gangguan layanan (Denial of Service), sedangkan pada Workstation dan Fusion dampaknya terbatas pada kebocoran informasi.
Sementara itu, CVE-2026-41709 merupakan kelemahan pada mekanisme pencatatan log yang memungkinkan administrator ESX yang berniat jahat melakukan aktivitas tertentu tanpa meninggalkan jejak pada sistem pencatatan.
Versi yang Telah Diperbaiki
Broadcom telah merilis pembaruan keamanan untuk beberapa produk utama, di antaranya:
VMware vCenter
- 9.1.0.0300
- 9.0.2.0100
- 8.0 Update 3k
VMware ESXi
- 9.1.0.0200
- 9.0.2.0100
- 8.0 Update 3k
Sementara itu, pengguna VMware Workstation dan Fusion versi 25H2 diwajibkan melakukan upgrade ke 26H1 untuk mengatasi CVE-2026-41703.
Broadcom juga menyediakan panduan pembaruan tersendiri bagi pengguna VMware Cloud Foundation 5.x maupun produk Telco Cloud.
Tidak Ada Workaround
Broadcom menegaskan bahwa tidak tersedia workaround untuk mengurangi risiko seluruh kerentanan tersebut.
Perusahaan juga tidak menyarankan administrator mengganti adapter jaringan VMXNET3 dengan adapter lain karena:
- Adapter jaringan lain juga pernah memiliki kerentanan keamanan.
- Pergantian adapter dapat menurunkan performa mesin virtual.
Pembaruan Dikategorikan Darurat
Broadcom mengategorikan pembaruan ini sebagai emergency change sesuai metodologi ITIL.
Administrator diminta segera menjadwalkan pemasangan patch meskipun proses pembaruan berpotensi menyebabkan gangguan layanan sementara.
Selama proses pembaruan vCenter, akses ke vSphere Client dan antarmuka manajemen lainnya akan terhenti untuk sementara.
Namun, mesin virtual maupun container yang sedang berjalan tetap akan beroperasi secara normal.
ESXi Memerlukan Restart
Untuk memperbarui VMware ESXi, administrator harus melakukan restart pada server.
Broadcom menyarankan penggunaan vMotion agar mesin virtual dipindahkan terlebih dahulu ke host lain sehingga proses pembaruan dapat dilakukan secara bergantian (rolling reboot).
Apabila mesin virtual tidak dapat dipindahkan, administrator harus mematikannya sebelum proses restart dilakukan.
Lingkungan yang mendukung juga dapat memanfaatkan fitur ESX Live Patch guna mengurangi gangguan layanan.
Ada Potensi Kendala Kompatibilitas
Broadcom turut memperingatkan adanya kemungkinan munculnya kesalahan “back in time” ketika pengguna mencoba melakukan upgrade ke VMware Cloud Foundation 9.x setelah memasang patch terbaru pada vSphere 8.0 atau 9.0.
Perusahaan menyatakan masalah kompatibilitas tersebut akan diperbaiki pada rilis VMware Cloud Foundation berikutnya.
Belum Ada Bukti Eksploitasi
Hingga saat ini Broadcom menyatakan belum menemukan indikasi bahwa kelima kerentanan tersebut telah dieksploitasi di dunia nyata.
Meski demikian, server VMware kerap menjadi sasaran utama kelompok ransomware dan pelaku ancaman siber karena berhasil mengompromikan vCenter atau ESXi dapat memberikan akses ke sejumlah besar server virtual beserta data penting yang dikelolanya.
Oleh karena itu, Broadcom mengimbau seluruh administrator VMware untuk segera memasang pembaruan keamanan terbaru guna mengurangi risiko serangan di masa mendatang.
