CVE-2026-41709 a été publiée le 30 juillet 2026, avec un score de 2.7. LOW. Le genre de CVE que personne ne lit jusqu'au bout.
Le 28 octobre, trois mois plus tard, la CISA l'a ajoutée au catalogue KEV, avec une échéance au 11 novembre. Une faille notée 2.7 est donc exploitée en conditions réelles. La raison tient dans sa description : elle permet à un administrateur d'agir sur l'hyperviseur sans que ses opérations soient journalisées.
La vulnérabilité
| Champ | Valeur |
|---|---|
| CVE | CVE-2026-41709 |
| CVSS 3.1 (VMware, CNA) | 2.7 (LOW) — AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:L/A:N |
| Type | Journalisation insuffisante (CWE-778) |
| Produit | VMware ESX (ESXi 8.0 et ESX 9.0) |
| Privilèges requis | Administrateur |
| Publication NVD | 2026-07-30 |
| Statut NVD | Analyzed |
| Ajout CISA KEV | 2026-10-28 |
| Échéance CISA | 2026-11-11 |
Description NVD :
VMware ESX contains an insufficient logging vulnerability. A malicious administrator could exploit this issue to perform certain operations without them being logged.
La description ne dit pas quelles opérations échappent à la journalisation. L'advisory Broadcom cité en référence est la seule source pour ce détail.
Pourquoi un 2.7 finit au KEV
Le score est bas pour de bonnes raisons, du point de vue CVSS :
PR:H: il faut déjà être administrateur ;C:N/A:N: la faille ne donne accès à aucune donnée et ne coupe rien ;I:L: le seul impact est sur l'intégrité des journaux.
Mais CVSS mesure ce que la faille ouvre, pas ce qu'elle cache. Une faille de journalisation ne sert pas à entrer. Elle sert à ceux qui sont déjà dedans.
NVD et la CISA ne décrivent pas la campagne. Le profil de la faille correspond en revanche à une étape post-compromission, et c'est une déduction, pas un fait publié : un attaquant obtient des droits administrateur sur l'hyperviseur (identifiants volés, autre faille, accès à vCenter), puis exploite CVE-2026-41709 pour que ses actions sur l'hôte n'apparaissent pas dans les journaux. Sur un ESX, ces actions peuvent toucher toutes les machines virtuelles hébergées.
C'est le même schéma que les failles « admin requis » qui entrent au KEV des mois après leur publication : le score les relègue en bas du backlog, et les attaquants s'en servent pour durer.
Les hyperviseurs VMware sont une cible récurrente des groupes de ransomware, comme on le détaillait dans notre panorama des CVE vCenter et ESXi exploitées. Le champ « ransomware » de l'entrée KEV est ici à « Unknown » : aucune utilisation par un rançongiciel n'est confirmée par la CISA.
Versions affectées
La configuration CPE publiée par NVD couvre deux branches :
| Branche | Versions affectées (NVD) | Première version hors plage |
|---|---|---|
| ESX 9.0 | 9.0.0 et suivantes, jusqu'à la version exclue | 9.0.2.0100 |
| ESXi 8.0 | GA, 8.0a à 8.0g, Update 1 à Update 3i (liste explicite) | non indiquée par NVD |
⚠️ Pour la branche 8.0, NVD liste les versions vulnérables une à une mais ne donne pas de version corrigée. La borne 9.0.2.0100 est elle aussi une borne NVD, pas forcément la version à installer. Dans les deux cas, la version de référence est dans l'advisory Broadcom (référence 38017 sur le portail de support Broadcom).
La branche 7.0 n'apparaît pas dans la configuration NVD.
Vérifier la version d'un hôte :
esxcli system version get
Détection
La difficulté est évidente : la faille vise précisément les journaux. Quelques pistes restent :
- Comparer l'état des hôtes (VM, réseaux virtuels, comptes locaux, services activés comme SSH) avec un inventaire ou une sauvegarde de configuration antérieure : un changement sans trace dans les journaux est un signal
- Recouper les journaux de l'hôte avec ceux de vCenter et du syslog distant : une action visible d'un côté et absente de l'autre mérite une explication
- Comptes administrateurs locaux sur les hôtes ESX : en dresser la liste et chercher ceux qui ne correspondent à rien
- Connexions administratives directes aux hôtes, hors vCenter, depuis des adresses inhabituelles
esxcli system account list
esxcli system syslog config get
Mitigation
1. Appliquer le correctif Broadcom
L'échéance CISA est le 11 novembre. Pour ESXi 8.0, la version cible est à prendre dans l'advisory Broadcom, NVD n'en donnant aucune.
2. Traiter l'accès administrateur
La faille exige un compte administrateur : la défense principale est là.
- Réduire le nombre de comptes ayant des droits administrateur sur les hôtes et sur vCenter
- Désactiver SSH et l'ESXi Shell quand ils ne servent pas
- Placer les interfaces de gestion des hôtes sur un réseau d'administration isolé
- Activer le mode verrouillage (lockdown mode) pour forcer le passage par vCenter
3. Sortir les journaux de l'hôte
Envoyer les journaux vers un syslog distant ou un SIEM ne corrige pas la faille, mais garde une copie de ce qui a été journalisé hors de portée d'un administrateur de l'hôte.
4. Si tu suspectes une compromission
La mise à jour rétablit la journalisation pour l'avenir, pas pour le passé. L'entrée KEV renvoie aux exigences de triage forensique de la directive BOD 26-04 : vérifier l'intégrité des hôtes et des VM, faire tourner les identifiants administrateur et les secrets d'intégration vCenter.
Pourquoi surveiller en continu tes hyperviseurs
Une LOW publiée en juillet ne déclenche aucune alerte. Son entrée au KEV en octobre devrait en déclencher une immédiatement, à condition de savoir quelle version d'ESX tourne sur chaque hôte.
Avec cveo.tech, inventorie tes hôtes VMware avec leur version exacte et reçois une alerte dès qu'une CVE qui les concerne entre au catalogue CISA KEV, quel que soit son score.