Im Zentrum der Warnung stehen drei kritische Schwachstellen. Die beiden vCenter-Fehler CVE-2026-59309 und CVE-2026-59310 haben jeweils einen CVSS-Wert von 9,8. Die VMXNET3-Schwachstelle CVE-2026-47876, die einen Ausbruch aus der virtuellen Maschine ermöglicht, bewertet Broadcom mit 9,3.
Daneben nennt Broadcom zwei weitere, weniger schwerwiegende Probleme. CVE-2026-41703 wird auf ESX als wichtig eingestuft und mit 7,6 bewertet. Auf Workstation und Fusion beschränkt sich die Auswirkung dieser Schwachstelle auf die Offenlegung von Informationen; dort liegt die Bewertung nur bei 2,7. Auch CVE-2026-41709 stuft Broadcom mit 2,7 als niedrig ein.
Die vCenter-Schwachstellen sind in den Versionen 9.1.0.0300, 9.0.2.0100 und 8.0 Update 3k behoben. Für ESX stehen die Korrekturen in ESXi 9.1.0.0200, ESXi 9.0.2.0100 und ESXi 8.0 Update 3k bereit. Nutzer von VMware Workstation und Fusion, die Version 25H2 einsetzen, müssen auf 26H1 aktualisieren, um CVE-2026-41703 zu schließen. Für VMware Cloud Foundation 5.x sowie die betroffenen Telco-Produkte verweist Broadcom auf gesonderte Patch-Anleitungen in seiner Warnmeldung.
Ausweichmaßnahmen gibt es laut Broadcom nicht. Auch ein Wechsel weg vom VMXNET3-Adapter wird nicht empfohlen. Der Hersteller begründet das damit, dass auch andere virtuelle Netzwerkadapter bereits Sicherheitslücken enthalten hätten und ein Austausch zudem die Leistung mindern könne.
Broadcom ordnet die Updates als Notfalländerung nach ITIL-Methodik ein. In einer ergänzenden FAQ warnt das Unternehmen: „Diese Probleme erfüllen nach ITIL-Methoden die Voraussetzungen für eine Notfalländerung und erfordern ein schnelles Handeln Ihrer Organisation.“
Für den Betrieb hat das konkrete Folgen. Beim Patchen von vCenter wird der Zugriff auf den vSphere Client und andere Verwaltungsoberflächen vorübergehend unterbrochen. Laufende virtuelle Maschinen und Container arbeiten laut Broadcom jedoch weiter. ESX-Updates erfordern einen Neustart des Servers. Broadcom empfiehlt deshalb, virtuelle Maschinen per vMotion auf andere Hosts zu verschieben und Cluster über einen gestaffelten Neustart zu aktualisieren. Virtuelle Maschinen, die sich nicht migrieren lassen, müssen während des Neustarts abgeschaltet werden.
In unterstützten Umgebungen kann zudem ESX Live Patch genutzt werden, um Unterbrechungen zu verringern. Für vCenter-Updates steht Quick Patch dagegen nicht zur Verfügung. Zusätzlich weist Broadcom auf ein mögliches Kompatibilitätsproblem beim Upgrade von VMware Cloud Foundation mit den neuen Patches hin. Laut FAQ tritt eine „Zurück-in-der-Zeit“-Einschränkung auf, wenn ein Patch einen Produktzweig auf eine höhere Build-Nummer hebt als das Ziel eines geplanten Upgrades. Die in der Warnung genannten Updates für vSphere 8.0 und 9.0 blockieren demnach Upgrades auf VMware Cloud Foundation 9.x mit einer entsprechenden Fehlermeldung. Die Upgrade-Kompatibilität soll laut Broadcom in späteren Versionen wiederhergestellt werden.
Nach Angaben des Unternehmens gibt es derzeit keine Hinweise darauf, dass die jetzt geschlossenen Schwachstellen bereits aktiv ausgenutzt werden. Broadcom verweist aber darauf, dass VMware-Server häufig Ziel von Angriffen sind. CISA hatte im Dezember 2025 gewarnt, dass chinesische Bedrohungsakteure VMware-vSphere-Server kompromittieren, um die Malware BrickStorm einzusetzen, versteckte unerlaubte virtuelle Maschinen anzulegen und geklonte Snapshots virtueller Maschinen für den Diebstahl von Zugangsdaten zu stehlen. CrowdStrike beobachtete zudem, dass Angreifer die ESXi-Shell nutzen, um nicht registrierte „Geister“-VMs zu erstellen, die weder in den ESXi- noch in den vCenter-Webkonsolen erscheinen. Diese Persistenztechnik verfolgt das Unternehmen unter dem Namen VirtualGHOST.