Die erste der drei als kritisch bewerteten Schwachstellen trägt die Kennung CVE-2026-59309 und erreicht einen CVSS-Wert von 9,8. Broadcom beschreibt sie als Umgehung der Authentifizierung in VMware vCenter. Nach Angaben des Unternehmens kann ein Angreifer mit Netzwerkzugriff auf vCenter die Schwachstelle ausnutzen, um die Authentifizierung zu umgehen und sich unbefugten Zugang zum System zu verschaffen.
Ebenfalls kritisch ist CVE-2026-59310 mit einem CVSS-Wert von 9,8. Dabei handelt es sich um eine Directory-Traversal-Schwachstelle in vCenter. Laut Broadcom kann ein Angreifer mit Netzwerkzugriff darüber beliebigen Code ausführen. Beide vCenter-Lücken wurden in den von Broadcom bereitgestellten Versionen behoben.
Darüber hinaus hat Broadcom drei weitere Schwachstellen geschlossen. Eine davon ist CVE-2026-47876, die das Unternehmen als Ausbruch aus einer virtuellen Maschine einstuft. Nach der Beschreibung des Herstellers kann ein Angreifer, der innerhalb einer virtuellen Maschine bereits über lokale Administratorrechte verfügt und den virtuellen Netzwerkadapter VMXNET3 nutzt, Code auf dem ESX-Host ausführen.
Die Sicherheitsupdates betreffen VMware ESX, vCenter, Workstation und Fusion. Weitere technische Einzelheiten zu den zusätzlich behobenen Schwachstellen nennt der Quelltext nicht, hebt aber hervor, dass insgesamt mehrere Produkte des VMware-Portfolios betroffen sind.
Broadcom erklärte außerdem, es gebe keine Erkenntnisse, die darauf hindeuten, dass eine dieser Schwachstellen bereits in freier Wildbahn ausgenutzt wurde. Die Meldung ist damit in erster Linie ein Patch-Hinweis zu mehreren gravierenden Sicherheitslücken, darunter zwei netzwerkseitig ausnutzbare Fehler in vCenter und eine kritische Schwachstelle mit Auswirkungen auf den ESX-Host.