Vulnérabilités Broadcom activement exploitées (KEV)

CVE-2026-41709 — Broadcom, VMware ESX : vulnérabilité de journalisation insuffisante Critique

Produit : Broadcom VMware ESX
Ajoutée au catalogue : 28 octobre 2026
Échéance CISA : 11 novembre 2026
Rançongiciels : pas d’usage connu
Faiblesse : CWE-778
Gravité : CVSS 2,7 (faible)
Probabilité d’exploitation (EPSS) : 1 %

Broadcom VMWare ESX contient une vulnérabilité de journalisation insuffisante qui pourrait permettre à un acteur malveillant disposant d'un accès administrateur d'effectuer certaines opérations sans qu'elles soient enregistrées.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · support.broadcom.com

Fiche détaillée : versions, références, chronologie →

Sur IP73 : CISA ajoute deux vulnérabilités exploitées au catalogue KEV

CVE-2026-59310 — Broadcom VMware vCenter : vulnérabilité de traversée de répertoires Critique

Produit : Broadcom VMware vCenter
Ajoutée au catalogue : 18 août 2026
Échéance CISA : 21 août 2026
Rançongiciels : utilisée dans des campagnes connues
Faiblesse : CWE-22
Gravité : CVSS 9,8 (critique)
Probabilité d’exploitation (EPSS) : 3 %
Technologie : VMware ESXi / vCenter

Broadcom VMware vCenter contient une vulnérabilité de traversée de répertoires qui pourrait permettre à un acteur malveillant ayant un accès réseau à vCenter d'exécuter du code arbitraire.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · support.broadcom.com

Fiche détaillée : versions, références, chronologie →

CVE-2026-22719 — Broadcom, VMware Aria Operations : vulnérabilité d'injection de commandes

Produit : Broadcom VMware Aria Operations
Ajoutée au catalogue : 3 mars 2026
Échéance CISA : 24 mars 2026
Rançongiciels : pas d’usage connu
Faiblesse : CWE-77
Gravité : CVSS 8,1 (élevée)
Probabilité d’exploitation (EPSS) : 18 %

Broadcom VMware Aria Operations, anciennement connu sous le nom de vRealize Operations (vROps), contient une vulnérabilité d'injection de commandes qui permet à un attaquant non authentifié d'exécuter des commandes arbitraires, pouvant potentiellement entraîner une exécution de code à distance lors d'une migration de produit assistée par le support.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · support.broadcom.com · knowledge.broadcom.com

CVE-2024-37079 — Broadcom, VMware vCenter Server : vulnérabilité d'écriture hors limites Critique

Produit : Broadcom VMware vCenter Server
Ajoutée au catalogue : 23 janvier 2026
Échéance CISA : 13 février 2026
Rançongiciels : pas d’usage connu
Faiblesse : CWE-787
Gravité : CVSS 9,8 (critique)
Probabilité d’exploitation (EPSS) : 22 %
Technologie : VMware ESXi / vCenter

Broadcom VMware vCenter Server contient une vulnérabilité d'écriture hors limites dans l'implémentation du protocole DCERPC. Cela pourrait permettre à un acteur malveillant ayant un accès réseau à vCenter Server d'envoyer des paquets réseau spécialement conçus, conduisant potentiellement à une exécution de code à distance.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · support.broadcom.com

Fiche détaillée : versions, références, chronologie →

CVE-2025-41244 — Broadcom, VMware Aria Operations et VMware Tools : vulnérabilité de privilège définie avec des actions non sûres

Produit : Broadcom VMware Aria Operations and VMware Tools
Ajoutée au catalogue : 30 octobre 2025
Échéance CISA : 20 novembre 2025
Rançongiciels : pas d’usage connu
Faiblesse : CWE-267
Gravité : CVSS 7,8 (élevée)
Probabilité d’exploitation (EPSS) : 9 %

Broadcom VMware Aria Operations et VMware Tools contiennent une vulnérabilité de privilège définie avec des actions non sûres. Un acteur local malveillant disposant de privilèges non administratifs et ayant accès à une VM avec VMware Tools installés et gérés par Aria Operations avec SDMP activé peut exploiter cette vulnérabilité pour élever ses privilèges à root sur la même VM.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · support.broadcom.com

CVE-2025-1976 — Broadcom, Brocade Fabric OS : vulnérabilité d'injection de code

Produit : Broadcom Brocade Fabric OS
Ajoutée au catalogue : 28 avril 2025
Échéance CISA : 19 mai 2025
Rançongiciels : pas d’usage connu
Faiblesse : CWE-94
Gravité : CVSS 8,6 (élevée)
Probabilité d’exploitation (EPSS) : 1 %

Broadcom Brocade Fabric OS contient une vulnérabilité d'injection de code qui permet à un utilisateur local disposant de privilèges administratifs d'exécuter du code arbitraire avec des privilèges root complets.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · support.broadcom.com