Broadcom VMware vCenter Path Traversal Vulnerability

VMware vCenter contains a directory traversal vulnerability in the Syslog server. A malicious actor with network access to vCenter may exploit this issue to execute arbitrary code.

Indice de priorité CheckOps

6,4/10 Corriger sous 7 jours

Gravité9,8

Probabilité0,3

Exploitation4/5

Gravité = CVSS. Probabilité = EPSS (FIRST). Exploitation = signaux publics : KEV, EUVD, rançongiciel, EPSS au-dessus de 10 %, accès sans compte.

EPSS · aujourd’hui 2,6 % plus haute que 85,1 % des CVE

CVSS 3.1 9,8 AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:

Exploitée depuis 85 jours 10/08/2026

Échéance CISA 21/08/2026 pour les agences fédérales américaines

Probabilité d’exploitation EPSS · FIRST

Probabilité EPSS (%)Percentile parmi toutes les CVE

Signaux d’exploitation 4 / 5

Catalogue KEV (CISA)18/08/2026
EUVD exploitée (ENISA)10/08/2026
Utilisée par des rançongicielsoui
EPSS au-dessus de 10 %2,6 %
Sans compte, par le réseauoui

Que faire

Corriger

Appliquer le correctif de l’éditeur dès qu’il est disponible.

Consigne de la CISA : Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.

En attendant

Retirer le service d’internet ou en filtrer l’accès, surveiller les journaux et chercher des traces de compromission.

Éditeurs (CRA)

Faille exploitée dans votre produit : alerte précoce à l’ENISA sous 24 h, puis notification sous 72 h (article 14 du Cyber Resilience Act). Le CRA expliqué

Produits touchés

vCenterTelco Cloud PlatformvSphere FoundationCloud FoundationTelco Cloud InfrastructureVMware vCenter

Versions touchées

9.1.x.x <9.1.0.0300
3.0
9.0.x.x
9.1.x.x
9.0.x.x <9.0.2.0100
4.x
8.0 <8.0 U3k
5.1.x
5.0.x
5.x

Faiblesses (CWE)

CWE-22

Paquets open source OSV

Bibliothèques touchées selon OSV, avec les versions corrigées.

Chronologie

30/07/2026
Publication
10/08/2026
Exploitation signalée (ENISA)
18/08/2026
Ajout au catalogue KEV
21/08/2026
Échéance de correction CISA

Références

Autres failles exploitées du même éditeur

CVE-2026-41709Broadcom VMWare ESX Insufficient Logging Vulnerability
2,3 · Montée rapide
CVE-2026-22719Broadcom VMware Aria Operations Command Injection Vulnerability
6,2 · Exploitation de fond
CVE-2024-37079Broadcom VMware vCenter Server Out-of-bounds Write Vulnerability
7,0 · Exploitation de fond
CVE-2025-41244Broadcom VMware Aria Operations and VMware Tools Privilege Defined with Unsafe Actions Vulnerability
4,6 · Exploitation de fond
CVE-2025-1976Broadcom Brocade Fabric OS Code Injection Vulnerability
4,7 · Exploitation de fond