VMware vCenter CVSS 9.8 : bypass auth et RCE, patch urgent

Les faits

Le 29 juillet 2026, Broadcom publie l'advisory de sécurité VMSA-2026-0006 qui corrige plusieurs vulnérabilités critiques dans l'écosystème VMware, dont deux failles de sévérité maximale affectant VMware vCenter Server : CVE-2026-59309 et CVE-2026-59310. Les deux vulnérabilités atteignent un score CVSSv3.1 de 9.8, classant cet advisory parmi les plus critiques publiés en 2026 pour l'infrastructure de virtualisation d'entreprise.

VMware vCenter Server est le système de gestion centralisée des environnements VMware vSphere. Il constitue le plan de contrôle de la quasi-totalité des datacenters d'entreprise virtualisés : c'est depuis vCenter que les administrateurs gèrent les hyperviseurs ESXi, les machines virtuelles, le stockage et le réseau. La compromission de vCenter équivaut à la prise de contrôle de l'intégralité du datacenter virtuel qu'il administre — c'est pourquoi chaque vulnérabilité critique sur cette cible déclenche une réponse d'urgence dans les équipes sécurité.

CVE-2026-59309 est un bypass d'authentification dans le VMware Directory Service (vmdir). Un attaquant distant non authentifié, disposant d'une simple connectivité réseau vers vCenter, peut exploiter cette faille pour contourner complètement le mécanisme d'authentification et obtenir un accès non autorisé au système. L'exploitation réussie confère à l'attaquant les mêmes droits qu'un administrateur vCenter légitime : création, modification ou suppression de VMs, accès aux snapshots, modification de la configuration réseau, interaction avec les datastores.

CVE-2026-59310 est une vulnérabilité de traversée de répertoire (directory traversal) dans le serveur Syslog de vCenter. Un attaquant non authentifié peut exploiter cette faille pour lire des fichiers arbitraires sur le système de fichiers du serveur vCenter, puis enchaîner vers une exécution de code arbitraire à distance. La combinaison CVE-2026-59309 (auth bypass) et CVE-2026-59310 (traversal vers RCE) crée un chemin d'attaque en deux étapes pour la compromission complète d'un serveur vCenter exposé.

L'advisory VMSA-2026-0006 couvre également CVE-2026-59311, une évasion de machine virtuelle (VM escape) dans VMware ESX avec un score CVSS de 8.8. Cette faille permet à un attaquant avec droits admin sur une VM de s'échapper vers l'hyperviseur ESXi hôte. Un scénario d'attaque combiné — CVE-2026-59309 pour compromettre vCenter, puis CVE-2026-59311 pour s'échapper des VMs — permettrait une prise de contrôle totale de l'infrastructure physique sous-jacente.

Au moment de la publication de VMSA-2026-0006, Broadcom indique qu'il n'existe aucune preuve d'exploitation dans la nature pour CVE-2026-59309 et CVE-2026-59310, et aucun PoC public n'est connu. Cependant, l'historique des vulnérabilités vCenter est instructif : le délai entre publication d'un advisory VMware critique et apparition d'exploits fonctionnels est typiquement de 1 à 3 semaines. CVE-2021-21985 (vCenter RCE, CVSS 9.8) a été exploitée en masse dès 48h après publication. CVE-2022-22954 (vCenter SSTI RCE, CVSS 9.8) a vu des PoCs publics apparaître en 48h. CVE-2023-34048 (vCenter out-of-bounds write, CVSS 9.8) a rejoint le KEV CISA peu après publication. La fenêtre de patching sûre se mesure en jours, pas en semaines.

Les versions affectées couvrent vCenter Server 8.0 (avant Update 3k), 9.0 (avant 9.0.2.0100) et 9.1 (avant 9.1.0.0300). Broadcom précise explicitement qu'il n'existe aucun workaround pour ces deux vulnérabilités : la mise à jour est la seule mitigation disponible. Pour les organisations ne pouvant pas patcher immédiatement, la restriction de l'accès réseau à l'interface de gestion vCenter (port 443) via des ACL strictes ou un pare-feu de gestion dédié réduit le risque sans l'éliminer.

Qualys ThreatPROTECT signale que les failles affectent également VMware Workstation et VMware Fusion, élargissant la surface d'exposition aux environnements de développement et de test. L'analyse Rapid7 précise que CVE-2026-59309 affecte spécifiquement la couche vmdir — le service d'annuaire interne de vSphere — ce qui implique que des contrôles MFA ou SSO externes ne suffisent pas à mitiger la vulnérabilité : l'authentification est contournée en amont de ces mécanismes.

Impact et exposition

VMware vCenter est présent dans la grande majorité des datacenters d'entreprise et des environnements cloud privés. Les organisations dont l'interface d'administration vCenter est accessible depuis des VLAN bureautiques non segmentés, ou directement depuis Internet, sont en risque critique. Les hébergeurs et ESN proposant des services VMware mutualisés font face au même effet de levier : une faille vCenter compromet potentiellement tous leurs tenants clients. Sans exploitation confirmée à ce stade, la priorité est le patching préventif urgent avant que des PoCs ne deviennent publics — ce qui, selon l'historique VMware, pourrait survenir dans les prochains jours.

Recommandations

• Patcher sans délai — Déployer vCenter 8.0 Update 3k, 9.0.2.0100 ou 9.1.0.0300 selon la version en production. Vérifier également les mises à jour VMware Workstation et Fusion.
• Segmentation réseau immédiate — Restreindre l'accès à l'interface vCenter (port 443) aux seules IP d'administration légitimes via ACL ou pare-feu de gestion dédié.
• Surveillance des accès — Activer et monitorer les journaux d'audit vCenter ; alerter sur toute authentification réussie hors des plages horaires habituelles ou depuis des IP inconnues.
• Inventaire des expositions — Identifier toutes les instances vCenter exposées sur Internet (cartographie externe type Shodan/Censys) et les protéger en priorité absolue.
• Fenêtre de maintenance d'urgence — Pour les environnements critiques, planifier le patching dans les 72 heures si ce n'est pas encore programmé.