Il CSIRT Italia, il gruppo dell’Agenzia per la cybersicurezza nazionale che si occupa di incidenti informatici, ha segnalato il 30 ottobre 2026 lo sfruttamento attivo in rete della vulnerabilità CVE-2026-41709. Riguarda VMware ESX, il software che permette di far girare più server virtuali su una sola macchina fisica, e altri prodotti VMware che lo includono. Secondo l’alert (codice AL01/261030/CSIRT-ITA) il punteggio CVSS v3.1, la scala che misura la gravità di una falla, è pari a 2.7. L’impatto sistemico è indicato come alto, con un valore di 66.28.
Il produttore aveva già corretto il problema nel luglio 2026.
Chi è coinvolto
Secondo l’alert sono affette le seguenti versioni:
- VMware ESX 8.0, versioni precedenti alla ESXi80U3j-25429389.
- VMware Cloud Foundation 9.1.x.x, versioni precedenti alla ESXi-9.1.0.0-25370933.
- VMware Cloud Foundation 9.0.x.x, versioni precedenti alla ESXi-9.0.2.0100-25595025.
- VMware Cloud Foundation 5.x, versioni precedenti alla 5.2.4 e prive dell’aggiornamento correttivo KB88287.
- VMware vSphere Foundation 9.1.x.x, versioni precedenti alla ESXi-9.1.0.0-25370933.
- VMware vSphere Foundation 9.0.x.x, versioni precedenti alla ESXi-9.0.2.0100-25595025.
- VMware Telco Cloud Platform 5.1.x e 5.0.x, versioni prive dell’aggiornamento correttivo KB449886.
Che rischio c’è
La vulnerabilità è di tipo «Insufficient logging», cioè una gestione inadeguata dei log, i registri in cui un sistema annota le operazioni eseguite. Secondo l’alert, un utente malevolo con privilegi amministrativi può eseguire alcune operazioni specifiche senza che vengano generati eventi di audit, cioè le registrazioni usate per controllare chi ha fatto cosa.
La falla non dà accesso al sistema a chi non lo ha già: serve un account con privilegi amministrativi. Questo spiega il punteggio CVSS relativamente basso. Il problema riguarda ciò che accade dopo. Un attaccante che opera senza lasciare tracce può eludere i controlli di monitoraggio e riduce l’efficacia del rilevamento, dell’analisi forense, cioè la ricostruzione di ciò che è avvenuto dopo un incidente, e della risposta agli incidenti.
L’alert indica che lo sfruttamento in rete è presente. Non fornisce altri dettagli su chi lo stia compiendo o su quali operazioni siano coinvolte.
Cosa fare
Il CSIRT Italia, in linea con le dichiarazioni del produttore, raccomanda di aggiornare tempestivamente i prodotti vulnerabili, seguendo le indicazioni del bollettino di sicurezza di Broadcom indicato tra i riferimenti dell’alert.
Per le organizzazioni che gestiscono questi sistemi tramite un fornitore esterno, è utile chiedere al fornitore IT se gli aggiornamenti siano già stati applicati. Conviene inoltre verificare quali versioni sono in uso, confrontandole con l’elenco sopra.
Fonte: alert AL01/261030/CSIRT-ITA del CSIRT Italia, Agenzia per la cybersicurezza nazionale, pubblicato il 30 ottobre 2026 (impatto sistemico alto). Leggi l’alert originale.
