في 28 أكتوبر 2026 أضافت وكالة CISA الثغرة CVE-2026-41709، وهي ثغرة نقص في التسجيل (insufficient logging) في VMware ESX، إلى كتالوج الثغرات المستغلة المعروفة (KEV). وكانت Broadcom قد وصفتها في التنبيه الأمني VMSA-2026-0006 الذي نُشر أول مرة في 29 يوليو 2026، وتصنّفها بدرجة منخفضة (CVSS 2.7). وتتوافر إصدارات ESX المُصحَّحة منذ ذلك التاريخ.
درجة الخطورة منخفضة، لكن إدراج CISA للثغرة يعني أنها تُعامَل على أنها مستغلة، لذا يستحق الأمر التأكد من تحديث المضيفات لديكم. ويذكر وصف الكتالوج لدى CISA أن الثغرة قد تتيح لجهة خبيثة تملك صلاحيات مدير تنفيذ عمليات معينة دون أن تُسجَّل.
من المتأثر؟
وفق تنبيه Broadcom وسجل NVD، المنتجات التالية متأثرة. مضيفات ESX الأقدم من الإصدار المذكور عرضة للثغرة.
| المنتج | الإصدارات المتأثرة | الإصدار المُصحَّح |
|---|---|---|
| ESX 9.1.x | أقدم من ESXi-9.1.0.0-25370933 | ESXi-9.1.0.0-25370933 |
| ESX 9.0.x | أقدم من ESXi-9.0.2.0100-25595025 | ESXi-9.0.2.0100-25595025 |
| ESX 8.0 | أقدم من ESXi80U3j-25429389 | ESXi80U3j-25429389 |
| VMware Cloud Foundation 5.x | أقدم من 5.2.4 | 5.2.4 |
| Telco Cloud Platform 5.0.x و5.1.x | مدرجة كمتأثرة | KB449886 |
يصف تنبيه Broadcom المشكلة بأن مديراً خبيثاً يمكنه تنفيذ عمليات معينة دون تسجيلها. ويُظهر متجه CVSS 3.1 في سجل NVD أن الصلاحيات العالية مطلوبة (PR:H).
ويشمل التنبيه نفسه VMSA-2026-0006 ثغرات أخرى في ESX وvCenter وWorkstation وFusion، بعضها مصنّف حرجاً. راجعوا التنبيه كاملاً عند التخطيط للتحديثات، لا هذه الثغرة وحدها.
هل يجري استغلالها؟
أضافت CISA الثغرة CVE-2026-41709 إلى كتالوج KEV في 28 أكتوبر 2026 وحدّدت 11 نوفمبر 2026 موعداً نهائياً للمعالجة للجهات الاتحادية الأمريكية، وتصف استخدامها في حملات الفدية المعروفة بأنه "Unknown" (غير معروف). ولا يذكر إصدار تنبيه Broadcom الذي راجعناه أن الثغرة مستغلة. ولا يذكر أي من المصدرين جهة تهديد بالاسم ولا طريقة الاستغلال.
ما الذي يجب فعله الآن
- حدّثوا ESX إلى الإصدار المُصحَّح المناسب لنسختكم: ESXi-9.1.0.0-25370933 (للإصدار 9.1.x) أو ESXi-9.0.2.0100-25595025 (للإصدار 9.0.x) أو ESXi80U3j-25429389 (للإصدار 8.0). وفي VMware Cloud Foundation 5.x استخدموا 5.2.4. وفي Telco Cloud Platform اتبعوا KB449886.
- طبّقوا التحديث عبر إجراءات التغيير المعتادة. لا تذكر Broadcom حلاً بديلاً مؤقتاً لهذه الثغرة، فالتحديث هو العلاج.
- اتبعوا الإجراء الذي تطلبه CISA إن كنتم خاضعين له: تطبيق تدابير المورّد وفق توجيه BOD 26-04 ومتطلبات الفحص الجنائي (Forensics Triage Requirements) لدى CISA.
كيف تتحققون من تأثركم
لا تنشر Broadcom ولا CISA مؤشرات اختراق لهذه الثغرة في الصفحات التي راجعناها. ولأن المشكلة تتعلق بعمليات قد لا تُسجَّل، فالخطوة العملية الأولى هي التأكد من إصدار ESX على كل مضيف ومقارنته بالجدول أعلاه. ويحيل إدخال CISA إلى متطلبات الفحص الجنائي لمزيد من الإرشاد.
كيف يمكن للنظام الذكي مساعدتكم
يقدّم النظام الذكي خدمات الأمن السيبراني وتقييم الفجوات لمراجعة بيئة المحاكاة الافتراضية لديكم وحالة التحديثات. ونوفّر مراقبة ودعماً على مدار الساعة؛ وهذه معلومة عن خدمتنا لا عن هذه الثغرة.
المصادر
- تنبيه Broadcom الأمني VMSA-2026-0006 (نُشر في 29 يوليو 2026، وآخر تحديث في 19 أغسطس 2026): بوابة دعم Broadcom
- سجل NVD: CVE-2026-41709
- إدخال CISA KEV، أُضيف في 28 أكتوبر 2026: كتالوج CISA KEV