# VMware ESX : une CVE à 2,7 qui peut effacer un morceau de l’histoire

> Broadcom classe une faiblesse de journalisation ESX à 2,7 : certaines opérations d’un administrateur malveillant peuvent ne pas être tracées. Impact et enquête.

Publié le: 2026-11-04  
Canonical: https://rootzero.eu/research/vmware-esx-journalisation-angle-mort-2026/

**Avis Broadcom du 29 juillet 2026, revenu dans les alertes d'exploitation en octobre.** Dans [VMSA-2026-0006](https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/VMSA-2026-0006-1--VMware-ESX--vCenter--Workstation--and-Fusion-updates-address-multiple-vulnerabilities--CVE-2026-59309--CVE-2026-59310--CVE-2026-47876--CVE-2026-41703--CVE-2026-41709-/38017), **CVE-2026-41709** paraît mineure : score CVSS **2,7**, sévérité faible, privilèges administrateur déjà requis. Son effet publié est pourtant important pour une enquête : certaines opérations d'un administrateur malveillant peuvent être réalisées **sans être inscrites dans les journaux**. La faille ne donne pas à elle seule les droits d'administrateur ; elle modifie la fiabilité des preuves une fois ces droits obtenus.

## Pourquoi CVSS donne un petit nombre

CVSS mesure notamment les préconditions et les effets directs sur confidentialité, intégrité et disponibilité. Ici, l'attaquant décrit par Broadcom est déjà administrateur. La faille n'ouvre pas le premier accès et ne constitue pas une RCE. Le score faible est cohérent avec cette définition étroite. Il ne quantifie cependant pas entièrement la valeur d'une action non enregistrée pour un acteur qui mène déjà une intrusion, surtout sur un hyperviseur où l'investigation dépend des traces d'administration.

Broadcom ne publie pas dans le bulletin la liste des opérations invisibles ni le format des événements manquants. Affirmer qu'une suppression de VM, une exportation de disque ou une modification de réseau précis passe forcément sans trace serait donc injustifié. La portée exacte doit être déduite d'un correctif ou d'une démonstration sur une version donnée ; la description publique garantit seulement « certaines opérations ».

## Le problème de preuve négative

Dans une enquête ordinaire, une équipe peut chercher un événement attendu et conclure qu'aucune action n'a eu lieu si cet événement manque. Une vulnérabilité de journalisation invalide cette inférence. L'absence d'une ligne dans le journal ESX ne prouve plus nécessairement l'absence de l'opération correspondante. La réponse doit croiser des sources indépendantes : vCenter, journaux centralisés, états des VM, API de stockage, sauvegardes, réseau et chronologie des comptes privilégiés. Un journal collecté hors de l'hôte peut aussi préserver des traces que l'administrateur local ne peut plus modifier, mais seulement si l'événement a été émis avant son export.

Un audit autorisé peut créer une matrice d'opérations administrateur sur une plateforme de test, relever les événements produits par la version vulnérable, puis répéter exactement les mêmes opérations sur la version corrigée. La différence établit le défaut sans attribuer au produit des opérations non publiées. Il faut tester les actions via plusieurs interfaces si elles produisent des chemins de code différents. Le même [advisory Broadcom](https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/VMSA-2026-0006-1--VMware-ESX--vCenter--Workstation--and-Fusion-updates-address-multiple-vulnerabilities--CVE-2026-59309--CVE-2026-59310--CVE-2026-47876--CVE-2026-41703--CVE-2026-41709-/38017) remercie Ian Barton de CrowdStrike pour le signalement, mais ne fournit pas un PoC public détaillé dans le bulletin.

## Correctif et classement du risque

Les correctifs diffèrent selon la ligne ESX : Broadcom donne notamment **ESXi80U3j-25429389** pour ESX 8.0, ainsi que des builds corrigés pour 9.0, 9.1 et Cloud Foundation. Il faut consulter la matrice du bulletin pour la combinaison produit et version exacte. Les autres CVE de VMSA-2026-0006, dont des failles critiques de vCenter, ne sont pas le mécanisme de CVE-2026-41709 ; elles peuvent toutefois constituer d'autres chemins d'entrée dans un environnement qui n'est pas à jour.

Le cas est un rappel utile pour les tableaux de priorisation : une note de 2,7 décrit la vulnérabilité isolée, pas la valeur d'une **lacune d'observabilité** au milieu d'une intrusion. La bonne question opérationnelle est de savoir quelles preuves indépendantes resteraient disponibles si l'administrateur ESX lui-même ne produisait plus tous les événements attendus.

**Source principale :** [Broadcom VMSA-2026-0006, section 3e et matrice de correctifs](https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/VMSA-2026-0006-1--VMware-ESX--vCenter--Workstation--and-Fusion-updates-address-multiple-vulnerabilities--CVE-2026-59309--CVE-2026-59310--CVE-2026-47876--CVE-2026-41703--CVE-2026-41709-/38017).