Il 3 settembre 2026 Broadcom ha rilasciato il bollettino VMSA-2026-0007, relativo alle vulnerabilità critiche CVE-2026-59346 e CVE-2026-59347. La domanda utile per chi gestisce datacenter e PMI virtualizzate non è «c’è un CVE nuovo?», ma: colpisce il mio ESXi?
Contenuto informativo tecnico basato sul bollettino Broadcom/VMware. Verifica sempre le matrici ufficiali sul portale Security Advisories prima di pianificare il patching.
Cosa riguarda VMSA-2026-0007
Le falle documentate in VMSA-2026-0007 riguardano hypervisor desktop: VMware Fusion e Workstation, in particolare meccanismi legati alle Platform Key di Secure Boot. Non sono un alert automatico sui cluster ESXi di produzione.
Traduzione operativa: se il core aziendale è ESXi/vCenter e non usi Fusion/Workstation come piattaforma critica, questa advisory specifica non è l’incidente da aprire oggi — ma è un ottimo trigger per controllare il debito di patch enterprise.
Perché ESXi non è «a posto» di default
In ottica di riduzione della superficie di attacco, ogni bollettino Broadcom è un’occasione per verificare lo stato reale degli ambienti. In particolare conviene accertarsi che sia stato applicato il piano di patch cumulative legato a VMSA-2026-0006 (fine luglio 2026).
Quel bollettino è altamente rilevante per gli ambienti enterprise: interviene su vulnerabilità severe di vCenter Server e dell’ecosistema di gestione ESXi (tra cui elementi noti del ciclo come authentication bypass su vCenter e problematiche di VM escape su ESXi, secondo la documentazione di approfondimento del vendor).
Checklist pratica per PMI e IT manager
- Inventaria: host ESXi, versioni build, appliance vCenter, eventuali postazioni Fusion/Workstation usate da sviluppatori o lab.
- Confronta le build con la matrice ufficiale di VMSA-2026-0006 (enterprise) e, se usi desktop hypervisor, di VMSA-2026-0007.
- Pianifica finestra di patching con rollback chiaro: snapshot/backup di vCenter e procedura di manutenzione host.
- Dopo il patching, verifica che monitoring e alert restino coerenti (non spegnere i controlli «per fare prima»).
Dove si collega nel percorso ITSOS
Patching senza fotografia rischia di essere caotico. Se non avete ancora priorità scritte, partite da un Audit / Security Status Report; per chiudere le esposizioni dopo l’assessment: Hardening. Per visibilità continua su host e servizi: 003 Intelligence.
Fonti ufficiali
- VMware Security Blog — raccolta bollettini (incluso VMSA-2026-0007).
- VMware Security Advisories — Broadcom — portale ufficiale di ricerca advisory.
Prossimo passo
Se gestite ESXi/vCenter e non siete certi delle build in produzione, chiedete una verifica di scope — non un elenco CVE da slide. Contatti: itsos.it/contatti · hub: Cybersecurity.