Broadcom emitió el aviso de seguridad VMSA-2026-0001 el 24 de febrero de 2026, revelando tres vulnerabilidades en VMware Aria Operations que representan riesgos, incluyendo la ejecución remota de código. Las organizaciones que utilizan productos afectados deben priorizar la aplicación de parches para mitigar posibles exploits.

VMware Aria Operations, un componente clave en productos como VMware Cloud Foundation, Telco Cloud Platform y Telco Cloud Infrastructure, enfrenta fallos de inyección de comandos (CVE-2026-22719, CVSS 8.1), cross-site scripting almacenado (CVE-2026-22720, CVSS 8.0) y escalada de privilegios (CVE-2026-22721, CVSS 6.2).

El problema más crítico, CVE-2026-22719, permite a atacantes no autenticados ejecutar comandos arbitrarios durante migraciones asistidas por soporte, lo que podría llevar a una ejecución remota de código completa.

CVE-2026-22720 permite a usuarios privilegiados crear benchmarks personalizados para inyectar scripts y realizar acciones administrativas, mientras que CVE-2026-22721 permite a usuarios de vCenter con acceso escalar a derechos de administrador en Aria Operations. Todos los problemas tienen una severidad Importante, y ya están disponibles parches para las versiones afectadas.

Versiones afectadas y soluciones

Las implementaciones afectadas abarcan VMware Aria Operations 8.x y paquetes anteriores en Cloud Foundation 9.x/5.x/4.x, Telco Cloud Platform 5.x/4.x y Telco Cloud Infrastructure 3.x/2.x.

Existe una solución temporal para CVE-2026-22719 a través de KB430349, pero no hay ninguna para las demás vulnerabilidades, lo que subraya la urgencia de las actualizaciones. Las notas de la versión confirman correcciones en versiones como Aria Operations 8.18.6 y Cloud Foundation 9.0.2.0.

Los administradores deben verificar sus implementaciones según la matriz y aplicar las actualizaciones de inmediato, ya que la explotación durante migraciones podría comprometer las operaciones en la nube. Los créditos son para los investigadores Tobias Anders (Deutsche Telekom Security), Sven Nobis y Lorin Lehawany (ERNW).