VMSA-2026-0006.1 — vCenter'da kimliksiz yetki atlatma ve ESX'te sanal makine kaçışı

Yönetici özeti

Broadcom, 29 Temmuz 2026'da VMSA-2026-0006 bültenini yayımladı ve 3 Ağustos 2026'da .1 revizyonuyla güncelledi. Bülten, VMware sanallaştırma yığınının kalbini — vCenter yönetim sunucusunu ve ESX/ESXi hipervizörünü — hedefleyen beş CVE içeriyor. Bunlardan üçü kritik önemde.

En tehlikeli ikili, vCenter üzerinde bulunan ve ağ erişimi olan, kimlik bilgisi dahi gerektirmeyen bir saldırganın sömürebileceği iki açıktır: CVE-2026-59309 (VMware Directory Service / vmdir kimlik doğrulama atlatma) ve CVE-2026-59310 (Syslog sunucusunda dizin gezinme → uzaktan kod çalıştırma). İkisi de CVSS 9.8. vCenter tüm sanal ortamın kimlik ve yönetim omurgasıdır; buranın ele geçirilmesi pratikte tüm sanal makine filosunun ele geçirilmesi demektir.

Üçüncü kritik açık CVE-2026-47876 (CVSS 9.3), ESX'in VMXNET3 sanal ağ kartındaki bir bellek bozulması hatasıdır. Bir sanal makine içinde yönetici yetkisine sahip bir saldırgan, bu açığı kullanarak hipervizör ana makinesinde kod çalıştırabilir — yani sanal makine izolasyonunu kırıp kaçış yapabilir. Açık, Zero Day Initiative'in Pwn2Own yarışmasında gösterilmiştir.

Kalan iki açık daha düşük önemdedir: CVE-2026-41703 (sınır dışı okuma; ESX'te bilgi ifşası veya hizmet dışı bırakma, Workstation ve Fusion'da düşük etki) ve CVE-2026-41709 (yetersiz günlükleme).

Açıklar bir bakışta

CVE-2026-41703 ESX üzerinde 7.6 (Önemli), Workstation ve Fusion üzerinde 2.7 (Düşük) puanlanmıştır. Vektör satırı ESX değerine aittir; masaüstü hipervizörlerin 2.7 vektör dizesi CVE kaydında ayrıca yayımlanmamıştır.

Açıkların teknik analizi

Broadcom kod düzeyinde kök-neden ayrıntısı yayımlamadı; aşağıdaki açıklamalar bültenin resmî tanımları ve CVE/CWE kayıtları temel alınarak hazırlanmıştır.

Etkilenen ürünler ve düzeltme matrisleri

Bülten sekiz ürün ailesini kapsıyor: VMware Cloud Foundation, vSphere Foundation, vCenter Server, vSphere ESX/ESXi, Workstation, Fusion, Telco Cloud Platform ve Telco Cloud Infrastructure. Aşağıdaki tablolar bültenin resmî yanıt matrisleridir.

vCenter — CVE-2026-59309 ve CVE-2026-59310

[1] Yamalar kümülatiftir. CVE-2026-59309 ilk olarak 9.1.0.0200'de düzeltilmiştir; 9.1.0.0300 en güncel kümülatif sürüm olduğundan hedef sürüm olarak alınmalıdır.

ESX — CVE-2026-47876 (VMXNET3)

Bu açık yalnızca ESX ürünlerini etkiler. Workstation ve Fusion bu CVE'nin kapsamında değildir.

ESX / Workstation / Fusion — CVE-2026-41703

ESX — CVE-2026-41709 (yetersiz günlükleme)

Revizyonda ne değişti

Yapılması gerekenler

Geçici çözüm olmadığından tek gerçek önlem yamalamadır. Aşağıda öncelik sırası, doğru yama sırası ve bileşen bazında adımlar yer alıyor.

Öncelik ve aciliyet

1. Önce vCenter. Ağdan erişilebilen, kimliksiz iki CVSS 9.8 açık en yüksek risktir. vCenter'ları hemen 8.0 U3k / 8.0 U2f / 9.0.2.0100 / 9.1.0.0300 sürümlerine yamalayın.
2. Sonra ESX ana makineleri. Özellikle güvenilmeyen veya çok kiracılı iş yüklerinin misafir yöneticisi barındırdığı ana makineler öncelikli.
3. Düşük önemli açıklar zaten U3k / 9.x hedeflerinin içinde geldiği için ayrı iş gerektirmez.
4. Masaüstü ürünler (Workstation/Fusion 26H1) en düşük aciliyettedir.

vCenter Server yama prosedürü (8.0)

1. Yedek ve anlık görüntü alın Yamadan önce dosya tabanlı yedek alın (VAMI → Backup; SFTP/FTPS/NFS/SMB/HTTPS hedefi). VCSA için desteklenen geri yükleme yöntemi budur. Ek güvence olarak cihazın kapalıyken anlık görüntüsünü alın.
2. VAMI ile güncelleyin (port 5480) https://<vcsa-fqdn>:5480 adresine root ile girin → Update sekmesi → çevrimiçi depo veya cihazın sanal CD/DVD sürücüsüne bağlı ISO'dan yamayı Stage edin → EULA → ön kontrol → Install. Kurulum sırasında tüm vCenter servisleri durur; bunu bir bakım penceresinde yapın.
3. Alternatif: kabuk (CLI) Cihaz kabuğunda software-packages aracıyla:

   # ISO CD/DVD'ye bağlıysa:
   software-packages stage --iso --acceptEulas
   # veya çevrimiçi depo URL'sinden:
   software-packages stage --url <repo-URL> --acceptEulas
   software-packages list --staged
   software-packages install --staged
   shutdown reboot -r "yama sonrasi yeniden baslatma"

4. vCenter HA varsa Aktif düğümü asla doğrudan yamalamayın: Witness → Passive → manuel failover → eski Aktif sırasıyla ilerleyin.
5. Enhanced Linked Mode varsa Açıklar her düğümde bulunur; aynı SSO alanındaki tüm vCenter'ları teker teker aynı sürüme yamalayın. Anlık görüntüleri SSO alanındaki tüm vCenter'lardan aynı anda kapalıyken alın; bir düğümün yaması başarısız olur ve geri dönülecekse hepsini birlikte geri alın — vmdir replikasyon tutarlılığı buna bağlıdır. Düğümleri paralel değil, sırayla güncelleyin.

Kesinti yalnızca yönetim düzlemini etkiler; çalışan sanal makineler etkilenmez, vSphere Client kısa süre kullanılamaz.

ESX / ESXi ana makine yama prosedürü

Yöntem A — vSphere Lifecycle Manager (önerilen)

• vCenter'ın yamalı olduğunu doğrulayın ve vLCM uyumluluk taraması çalıştırın.
• Görüntü tabanlı kümeler: Yamayı istenen imaja ekleyin, kümeyi düzeltin. ESXi 8.0 U3k, ESX Live Patch destekler — uygun kaynak build'lerde yeniden başlatma ve VM tahliyesi olmadan yama yapılabilir.
• Baseline tabanlı kümeler: Baseline'a hem ESXi rollup bültenini hem esx-update bültenini ekleyin — birbirine bağımlıdır, biri eksikse düzeltme başarısız olur.
• Standart akış: DRS/vMotion ile VM'leri tahliye et → bakım modu → yama → yeniden başlat → bakım modundan çık → sonraki host.

Yöntem B — esxcli çevrimdışı paket

Depo zip'ini bir datastore'a yükleyin, host'u bakım moduna alın, sonra:

esxcli system maintenanceMode set --enable true
esxcli software sources profile list -d /vmfs/volumes/<datastore>/VMware-ESXi-8.0U3k-25595708-depot.zip
esxcli software profile update -d /vmfs/volumes/<datastore>/VMware-ESXi-8.0U3k-25595708-depot.zip -p ESXi-8.0U3k-25595708-standard
# ucuncu parti VIB'leri korumak icin 'install' degil 'update' kullanin
reboot

8.0 U2 hattı için profili ESXi-8.0U2f-25626445-standard ile değiştirin. Bilinen kozmetik sorun: U3k kurulumcusu yükleme sırasında build 25429389 gösterebilir; tam açılıştan sonra doğru build (25595708) görünür (Broadcom KB450483).

VMware Cloud Foundation

• VCF 5.x: Kritik açıklar için Async Patch Tool ile SDDC Manager üzerinden vCenter/ESX 8.0 U3k'yi tüketin. Desteklenen async yamalar ve yollar için KB88287 yetkili kaynaktır. VCF 5.2 / 5.2.1'de bazı yamalar bağımsız AP Tool yerine Flexible BOM akışıyla tüketilir — sürümünüz için KB satırını kontrol edin.
• VCF 9.x: 9.1.0.0300 ve 9.0.2.0100 kümülatif VCF yama sürümleridir; yerel VCF 9 yaşam döngüsü ile uygulanır.

Telco Cloud ve masaüstü ürünler

• KB449886, Telco Cloud Platform 3.0 / 4.x / 5.0.x / 5.1.x ve Telco Cloud Infrastructure 3.0 için yanıt endeksidir. vCenter açıkları için tüm listelenen sürümlerde vCenter 8.0 U3k; VMXNET3 için TCP 5.0.x/5.1.x'te ESXi 8.0 U3k uygulanır.
• Workstation ve Fusion 25H2 → 26H1. Güvenilir yol, Broadcom Support Portal'dan 26H1 kurulumcusunu manuel indirip 25H2 üzerine kurmaktır.

Destek sonu sürümler

• vSphere 7.x 2 Ekim 2025'te Genel Destek Sonu'na ulaştı. Broadcom bu bültende 7.x'i değerlendirmedi ve yamalamadı. Uzatılmış destek sözleşmesi olanlar yamaları o kanaldan talep etmeli; diğerleri yükseltmelidir (vCenter 7.0 → 8.0 U3k desteklenen bir ana yükseltmedir).
• vSphere 6.5 / 6.7: Broadcom'un yanıtı "etkilenmiş varsayın" şeklindedir. Yama yoktur; yükseltme genellikle ara adım gerektirir.

Yama gecikirse: telafi edici kontroller

Resmî geçici çözüm yoktur; ancak yama tamamlanana kadar saldırı yüzeyini daraltacak kontroller uygulanabilir. Bunlar yamanın yerini tutmaz.

vCenter ağ maruziyetini azaltın

Aşağıdaki servis portlarının kullanıcı veya güvenilmeyen ağlardan erişilebilir olması için hiçbir meşru neden yoktur; bunları yalnızca altyapı segmentine kısıtlayın.

İzolasyon ve sıkılaştırma

• Ayrı yönetim ağı: vCenter, ESXi VMkernel ve syslog hedefi üretim VM trafiğinden ve kullanıcı ağlarından ayrılmalı; vMotion kendi segmentinde izole edilmeli.
• vCenter ve ESXi'yi asla internete açmayın. Kimliksiz atlatma açığında ağ erişilebilirliği doğrudan ele geçirme demektir; oltalama veya kimlik hırsızlığı gerekmez.
• Atlama sunucusu modeli: Yöneticiler vCenter'a yalnızca sertleştirilmiş, çok faktörlü doğrulamalı ve günlüklenen bir atlama sunucusundan erişsin.
• ESXi Lockdown Mode: Yönetimi vCenter üzerinden zorlar, doğrudan host baypasını engeller. execInstalledOnly, Secure Boot ve host güvenlik duvarı ile birleştirin.
• VMXNET3 için: Misafir içinde kimlerin yönetici olduğunu kısıtlayın — sömürü misafirde admin yetkisi gerektirir. Güvenilmeyen ve çok kiracılı iş yüklerini önce yamalı host'lara taşıyın.

vNIC türünü değiştirmek bu vektörü teknik olarak kaldırır ama önerilmez: misafir yeniden yapılandırma ve kesinti gerektirir, öykünülmüş ağ kartlarının kendi CVE geçmişi vardır ve ciddi performans kaybı getirir.

Tespit ve izleme

Broadcom bu CVE'lere özel gösterge yayımlamadı; aşağıdaki rehber, en yakın gerçek dünya emsali olan geçmiş vCenter saldırılarından (özellikle CVE-2023-34048 ve UNC3886 vakası) uyarlanmıştır.

• vmdir günlükleri: /var/log/vmware/vmdird/ ve /var/log/vMonCoredumper.log. Geçmiş saldırılarda saldırganlar core dump'ları silmişti — eksik core dump'lar veya günlük boşlukları başlı başına bir göstergedir. Kimlik atlatma için ise öncesinde kimlik doğrulama olayı bulunmayan başarılı dizin/LDAP oturumlarını arayın.
• SSO ve STS günlükleri: administrator@vsphere.local ve diğer SSO hesaplarına anormal kaynak IP'den, imkânsız seyahat gösteren veya mesai dışı girişler; kimlik doğrulaması eşleşmeyen token verilmesi.
• Yetki ve kimlik değişiklikleri: vsphere.local'da yeni kullanıcılar, Administrators ve SSO admin gruplarına eklemeler, yeni solution user'lar, yeni kimlik kaynakları veya izin atamaları.
• Syslog servisi anomalileri: Syslog alıcısının normal log yolu dışına dosya yazması, servis dizinlerinde beklenmeyen dosyalar, yeni veya değiştirilmiş ikili dosyalar, syslog sürecinin kabuk doğurması.
• Günlükleri dışarı iletin. Tüm vCenter ve ESXi günlüklerini gerçek zamanlı olarak SIEM'e veya Aria Operations for Logs'a gönderin. Saldırganlar yerel günlükleri ve core dump'ları sildiği için uzak kopyalar çoğu zaman hayatta kalan tek delildir.
• ESXi'ye uç nokta koruması kurulamaz. Telafi olarak Lockdown Mode, execInstalledOnly, Secure Boot, TPM attestation; yönetim segmentinde ağ tabanlı tespit; ve esxcli software vib list ile beklenmeyen VIB denetimi kullanın.

Ele geçirme şüphesi varsa

Şüpheli bir vmdir ele geçirmesini tam kimlik dokusu ele geçirmesi olarak ele alın — vmdir SSO'nun temelidir ve VMCA sertifika imzalayabilir; saldırgan imzalama anahtarlarını elde etmiş olabilir.

1. Önce izole edin, kanıtı koruyun vCenter'ı güvenlik duvarıyla ağdan ayırın. Silmeyin — VCSA'nın anlık görüntüsünü alın ve /var/log/vmware/, vMonCoredumper.log ve tüm core dump'ları adli analiz için koruyun.
2. Her kimlik bilgisini döndürün SSO admin administrator@vsphere.local (ELM alanı başına bir kez), tüm SSO kullanıcı ve servis hesapları, VCSA root, vpxuser ve solution user'lar (machine, vpxd, vpxd-extension, vsphere-webclient, hvc), harici kimlik kaynağı servis hesapları.
3. Sertifikaları yeniden üretin /usr/lib/vmware-vmca/bin/certificate-manager → Seçenek 4 ile yeni VMCA kökü üretip tüm sertifikaları değiştirin (Broadcom KB318767).
4. Kalıcılık avı yapın Sahte yerel ESXi hesapları, imzasız veya beklenmeyen VIB'ler, değiştirilmiş rc.local.d, beklenmeyen SSH anahtarları, yetkisiz sanal makine, anlık görüntü ve klonlar — ele geçirilmiş vCenter'dan VM klonlama yoluyla veri sızdırma bilinen bir tekniktir.
5. Yamalayın ve güveni yeniden kurun Düzeltilmiş build'e çıkın, Lockdown Mode'u yeniden etkinleştirin, yönetim ağı izolasyonunu geri getirin, host'ları yeniden ekleyip sertifikaları doğrulayın.
6. Gerekirse temiz yedekten dönün Bütünlük tesis edilemiyorsa bilinen iyi, değişmez yedeklerden kurtarın.

Yama sonrası doğrulama

• ESXi build kontrolü: esxcli system version get veya vmware -v — 8.0 için beklenen Releasebuild-25595708.
• vCenter sürüm kontrolü: VAMI özet ekranı — 8.0 U3k için sürüm 8.0.3.01000, build 25600417.
• Zafiyet tarayıcısıyla yeniden tarama. Tarayıcı sağlayıcınızın VMSA-2026-0006 kapsamını teyit edin.
• Tehdit istihbaratını izlemeye devam edin — CISA KEV kataloğu ve tarama telemetrisi.

Kaynaklar

• Broadcom — VMSA-2026-0006.1 resmî bülteni
• Broadcom/VMware — VMSA-2026-0006 resmî SSS
• KB88287 — Async Patching Guide · KB449886 — Telco Cloud
• vCenter 8.0 U3k sürüm notları · ESXi 8.0 U3k sürüm notları
• Rapid7 — CVE-2026-59309 / 59310 analizi
• NVD — CVE-2026-59309 · Mandiant — geçmiş vCenter sömürü emsali