Faille VMware ESX CVE-2026-41709 : une faille de journalisation désormais exploitée, versions à installer

La réponse courte : CVE-2026-41709 est une faille de journalisation insuffisante dans VMware ESX, l’hyperviseur de vSphere. Un administrateur malveillant peut effectuer certaines opérations sans qu’elles apparaissent dans les journaux. Broadcom l’a corrigée le 29 juillet 2026 dans l’avis VMSA-2026-0006 et l’a notée faible (2.7). Mais le 28 octobre 2026, la CISA l’a ajoutée à son catalogue KEV des failles activement exploitées. Si vos hôtes ESX n’ont pas reçu les correctifs de l’été, c’est le moment.

Une faille qui efface les traces ne sert pas à entrer : elle sert à rester discret une fois entré. Dans une PME, l’hyperviseur porte souvent tous les serveurs (contrôleur de domaine, fichiers, ERP, messagerie). Un attaquant qui agit dessus sans être journalisé a les mains libres. Pour le contexte général, voir notre page virtualisation Proxmox et Veeam et notre guide de migration de VMware vers Proxmox.

Ce qui est touché

L’avis VMSA-2026-0006, révisé le 3 puis le 19 août 2026, corrige cinq failles. Broadcom le classe critique dans son ensemble :

• CVE-2026-41709 (ESX, 2.7, faible) : journalisation insuffisante, exploitable par un compte disposant de droits élevés.
• CVE-2026-47876 (ESX, 9.3, critique) : écriture hors limites dans la carte réseau virtuelle VMXNET3. Un administrateur local d’une machine virtuelle peut exécuter du code sur l’hôte : c’est une évasion de VM.
• CVE-2026-41703 (ESX 7.6, importante ; Workstation et Fusion 2.7) : lecture hors limites, avec fuite d’informations ou déni de service.
• CVE-2026-59309 et CVE-2026-59310 (vCenter, 9.8, critiques) : contournement d’authentification dans VMware Directory Service et traversée de répertoire dans le serveur syslog. Combinées, elles permettent une exécution de code sans authentification.

Le maCERT de la DGSSI a relayé cet avis le 31 juillet 2026 (bulletin 67073107/26) avec un niveau de risque critique.

Les versions corrigées

Produit	Versions touchées	Version corrigée
ESX 9.1.x	antérieures à ESXi-9.1.0.0200-25557999	ESXi-9.1.0.0200-25557999 (CVE-2026-41709 dès ESXi-9.1.0.0-25370933)
ESX 9.0.x	antérieures à ESXi-9.0.2.0100-25595025	ESXi-9.0.2.0100-25595025
ESX 8.0	antérieures à ESXi80U3k-25595708	ESXi80U3k-25595708 (CVE-2026-41709 dès ESXi80U3j-25429389)
ESX 7.0	toutes	via le support étendu Broadcom
vCenter 9.1.x / 9.0.x	antérieures à 9.1.0.0300 / 9.0.2.0100	9.1.0.0300 / 9.0.2.0100
vCenter 8.0	antérieures à 8.0 U3k	8.0 U3k
VMware Cloud Foundation 5.x	antérieures à 5.2.4	5.2.4 et correctif asynchrone (KB88287)
Workstation et Fusion	25H2	26H1

Les correctifs sont cumulatifs : inutile d’installer les précédents. Broadcom signale qu’un correctif récent sur une branche 8.0 peut bloquer temporairement une mise à niveau vers VCF 9.x (restriction « back-in-time », KB 67077) : à vérifier si une mise à niveau majeure est prévue.

Gravité et exploitation

• Gravité publiée : 2.7 (faible) pour CVE-2026-41709 selon Broadcom, vecteur réseau, privilèges élevés requis. Le classement CWE retenu par la NVD est CWE-778 (journalisation insuffisante).
• Exploitation : confirmée par la CISA, qui l’a inscrite au catalogue KEV le 28 octobre 2026 avec une échéance au 11 novembre 2026 pour les agences fédérales américaines. La FAQ publiée par Broadcom avec l’avis indiquait ne disposer d’aucune information sur une exploitation ; ni Broadcom ni la CISA ne détaillent à ce jour les opérations qui échappent aux journaux.
• Lecture : l’exploitation suppose un compte administrateur déjà compromis. Elle s’inscrit donc dans une attaque en cours. Le correctif est aussi l’occasion de traiter la faille critique CVE-2026-47876 du même avis.

Les mesures d’attente

Broadcom n’indique aucun contournement. En attendant le créneau de mise à jour :

1. Isoler l’administration : interfaces de gestion des ESX et du vCenter accessibles uniquement depuis un réseau d’administration dédié, jamais depuis internet ni depuis le réseau des utilisateurs.
2. Réduire les comptes à privilèges : supprimer les comptes inutilisés, imposer des comptes nominatifs séparés et le MFA sur le vCenter, comme décrit dans notre guide de gestion des comptes administrateurs.
3. Fermer SSH et l’ESXi Shell quand ils ne servent pas, et activer le mode verrouillage (lockdown) des hôtes gérés par vCenter.
4. Envoyer les journaux hors de l’hôte vers un serveur syslog ou un SIEM. La faille limite certaines traces, pas toutes : les connexions, changements de configuration et événements vCenter restent utiles.

Les vérifications à faire

• Inventorier chaque hôte ESX et chaque vCenter avec sa version et son numéro de build (client vSphere ou esxcli system version get).
• Comparer au tableau ci-dessus, en commençant par les hôtes les plus critiques.
• Contrôler les comptes : rôles administrateur attribués récemment, comptes locaux ajoutés sur les hôtes, clés SSH inconnues.
• Relire l’activité récente : connexions d’administration depuis des adresses inhabituelles, machines virtuelles créées, arrêtées ou exportées, changements de réseau virtuel.
• Vérifier la sauvegarde : une copie hors ligne ou immuable des VM, testée, selon la règle 3-2-1 immuable. Voir aussi nos bonnes pratiques Veeam pour les machines virtuelles.

Notre lecture pour les entreprises au Maroc

Nous rencontrons encore régulièrement des hôtes en vSphere 7.0, voire 6.7, installés il y a plusieurs années et rarement mis à jour depuis les changements de licences Broadcom. Ces serveurs ne recevront ces correctifs que par un support étendu. C’est souvent le bon moment pour décider : mise à niveau vSphere ou migration vers une plateforme comme Proxmox VE, avec une sauvegarde Veeam qui couvre les deux.

Comment nous pouvons vous aider

Nous inventorions vos hôtes et vCenter, appliquons les correctifs dans un créneau maîtrisé après sauvegarde, isolons l’administration et vérifions l’absence d’activité suspecte. Nous assurons ensuite la supervision 24/7, avec une prise en charge des incidents critiques en moins de 15 minutes. Découvrez notre approche de la cybersécurité des entreprises au Maroc, puis demandez votre audit initial offert : nous vous répondons sous 24 h ouvrées.

Sources : avis Broadcom VMSA-2026-0006, FAQ VMSA-2026-0006 (VMware), alerte CISA du 28 octobre 2026, catalogue CISA KEV, NVD CVE-2026-41709, bulletin maCERT 67073107/26 (DGSSI).