Im Mittelpunkt des neuen Broadcom-Hinweises steht CVE-2026-47876, eine als kritisch bewertete Out-of-Bounds-Write-Schwachstelle im virtuellen Netzwerkadapter VMXNET3 von ESXi. Nach Angaben von VMware kann ein Angreifer mit lokalen Admin-Rechten auf einer virtuellen Maschine, die diesen Adapter verwendet, die Lücke ausnutzen, um beliebigen Code auf dem Host auszuführen. VMware beschreibt den Fehler ausdrücklich als VM-Escape.
Zwei weitere kritische Schwachstellen betreffen vCenter. Bei CVE-2026-59309 handelt es sich um eine Umgehung der Authentifizierung, die unbefugten Zugriff auf das angegriffene System ermöglicht. CVE-2026-59310 ist ebenfalls als kritisch eingestuft und erlaubt einem Angreifer mit Netzwerkzugang die Ausführung beliebigen Codes.
Daneben hat Broadcom zwei weitere Schwachstellen mit niedrigerer Einstufung beseitigt. CVE-2026-41703 betrifft VMware ESXi, Workstation und Fusion und wird als schwerwiegend eingestuft. Ein Angreifer mit Berechtigungen zur Bereitstellung virtueller Maschinen kann dadurch Informationen erlangen oder, wahrscheinlicher, einen Denial-of-Service-Zustand im Host-Prozess auslösen.
Die fünfte Lücke, CVE-2026-41709, ist laut Broadcom ein Problem mit niedriger Schwere in ESXi. Ein Angreifer mit Administratorrechten kann damit bestimmte Aktivitäten ausführen, ohne dass diese protokolliert werden.
Broadcom erklärte, dem Unternehmen seien keine Fälle bekannt, in denen diese Schwachstellen bereits aktiv ausgenutzt werden. Ergänzend zum Sicherheitsbulletin hat der Hersteller eine FAQ veröffentlicht, in der die Auswirkungen der einzelnen Lücken und die Voraussetzungen für das Patchen beschrieben werden.
Die Updates betreffen damit mehrere zentrale VMware-Produkte zugleich: ESXi, vCenter, Workstation und Fusion. Besonders die Kombination aus VM-Escape in ESXi sowie Authentifizierungsumgehung und Codeausführung in vCenter macht das Bulletin für Administratoren dieser Umgebungen relevant.