Problema

Una vulnerabilidad crítica en el componente de gestión de VMware vCenter permite ejecución remota de código (RCE) sin autenticación. Los atacantes confirman que ya están explotando CVE-2026-59310 para abrir túneles SSH reversos y moverse lateralmente dentro de la red. En entornos de producción, la exposición de vCenter a redes no confiables o la falta de un parche inmediato convierte a esta falla en un punto de entrada prioritario. El patrón que se repite es: una plataforma de virtualización ampliamente desplegada, gestión centralizada accesible y una actualización de seguridad que aún no está disponible para todos los clientes.

Causa

  1. Desbordamiento de entrada en la API de vCenter – La ruta vulnerable procesa datos sin validar correctamente, lo que permite inyección de comandos.
  2. Exposición de puertos de gestión – En muchos data centers, el puerto 443 de vCenter está abierto a subredes de desarrollo o incluso a Internet para facilitar la administración remota.
  3. Política de parcheo desigual – Clientes con contrato de soporte reciben el parche rápidamente; los que no tienen acceso a soporte quedan sin solución oficial durante semanas.
  4. Configuración por defecto de servicios auxiliares – Servicios como vpxd y vsphere-client se ejecutan con privilegios elevados y sin restricciones de origen, facilitando la escalada una vez que el exploit se materializa.

Estas causas aparecen en la mayoría de los incidentes relacionados con vulnerabilidades de gestión de virtualización: código vulnerable, superficie de ataque amplia y retrasos en la entrega de mitigaciones.

Solución

1. Inventario y clasificación rápida

  • Genera una lista de todos los endpoints que ejecutan vCenter.
  • Verifica la versión exacta del producto (vpxd -v) y compáralo con la tabla de versiones vulnerables publicada por VMware/Broadcom.

2. Aplicar mitigaciones temporales

a) Restricción de acceso de red

Crea reglas de firewall que limiten el acceso al puerto 443 del vCenter solo a rangos de IP internos de administración. En entornos Linux con iptables:

iptables -A INPUT -p tcp -s 10.0.0.0/8 --dport 443 -j ACCEPT
iptables -A INPUT -p tcp --dport 443 -j DROP

b) Desactivar servicios no esenciales

Si no utilizas la consola web para tareas rutinarias, desactiva el vsphere-client temporalmente:

systemctl stop vsphere-client
systemctl disable vsphere-client

c) Habilitar autenticación de dos factores (2FA) en la UI

Aunque no elimina la vulnerabilidad subyacente, añade una capa de defensa contra accesos no autorizados.

d) Aplicar parches de terceros

Broadcom ha publicado un “workaround” que consiste en actualizar la librería libxml2 a una versión que corrige la validación de entrada. En sistemas basados en RPM:

yum update libxml2-2.9.14-*

3. Implementar monitoreo de indicadores de compromiso (IOC)

  • Busca conexiones SSH entrantes desde direcciones externas al puerto 22 del host de vCenter.
  • Configura alertas en tu SIEM para eventos de vpxd que muestren procesos hijos inesperados.

4. Plan de parcheo definitivo

  • Contacta al equipo de soporte de Broadcom y solicita el parche oficial, incluso si no tienes contrato.
  • Programa una ventana de mantenimiento que incluya respaldo completo del vCenter y pruebas de restauración.
  • Después de aplicar el parche, reinicia los servicios y verifica la versión.

Cuándo aplicar esta solución

  • Síntomas: tráfico SSH inesperado desde la IP del vCenter, logs de vpxd con errores de deserialización, o alertas de escaneo de puertos que detecten el puerto 443 abierto a Internet.
  • Entornos: cualquier instalación de VMware vCenter 7.x o 8.x sin parche aplicado.
  • Exclusiones: si ya se ha aplicado el parche oficial y los firewalls están correctamente segmentados, la mayoría de los pasos de mitigación temporal pueden omitirse.

Código

# 1. Listado de versiones vulnerables
for host in $(cat vcenter_hosts.txt); do
  ssh "$host" "vpxd -v"
done | grep -E "7\.[0-9]+|8\.[0-9]+"

# 2. Aplicar regla de firewall (ejemplo para iptables)
iptables -A INPUT -p tcp -s 10.0.0.0/8 --dport 443 -j ACCEPT
iptables -A INPUT -p tcp --dport 443 -j DROP

# 3. Desactivar vsphere-client
systemctl stop vsphere-client && systemctl disable vsphere-client

# 4. Actualizar libxml2 (RHEL/CentOS)
yum update libxml2-2.9.14-*

Verificación

  1. Comprobar versión

    vpxd -v | grep -v "patched"

    La salida no debe contener números de versión listados como vulnerables.

  2. Validar reglas de firewall

    iptables -L INPUT -v -n | grep 443

    Sólo deben aparecer entradas que acepten tráfico desde rangos internos.

  3. Revisar logs de vpxd

    journalctl -u vpxd | grep -i "error\|exception"

    Ausencia de mensajes de deserialización indica que el vector de ataque está bloqueado.

  4. Escaneo externo
    Desde una máquina fuera de la red, ejecuta:

    nmap -p 443 <IP_vCenter>

    El puerto debe aparecer filtrado o cerrado.

Notas adicionales

  • Backup antes de cualquier cambio: la base de datos de vCenter es sensible; un respaldo completo evita pérdida de configuración.
  • Impacto de desactivar vsphere-client: la consola web deja de estar disponible; asegúrate de que los administradores tengan acceso alternativo vía CLI.
  • Revisión de políticas de acceso: aprovecha esta ventana para reforzar listas de control de acceso (ACL) y eliminar cuentas de servicio sin uso.
  • Comunicación con Broadcom: aunque no tengas contrato, el portal de soporte público permite abrir tickets de vulnerabilidad críticos; la respuesta suele ser más rápida cuando se menciona una explotación activa.

Mantener vCenter bajo vigilancia constante y aplicar capas de defensa en profundidad reduce drásticamente la superficie de ataque. La combinación de restricciones de red, desactivación de servicios innecesarios y monitoreo activo brinda tiempo suficiente para instalar el parche oficial sin interrumpir la operación del data center.