VMware и отозванные сертификаты eMudhra: это не дыра в гипервизоре
Broadcom предупредил, что промежуточные центры emSign лежат в списках доверия VCF, Cloud Director, Workstation, Fusion и соседних продуктов. Исправления обещаны в ближайших релизах. Путать с CVE-2026-41709 не нужно.
Статья Broadcom 460199 говорит простую вещь: восемь отозванных промежуточных сертификатов eMudhra emSign входили в доверенные списки ряда продуктов. Среди них VMware Cloud Foundation и vSphere Foundation 5.2.4 и 9.1.1, Cloud Director, Remote Console, HCX, PowerCLI, Telco Cloud, Workstation и Fusion. Пока список внутри продукта не обновлён, программа может поверить сертификату, которому браузер на соседнем ноутбуке уже не верит.
Что от этого бывает
Речь о подмене узла на сетевом пути, если злоумышленник может предъявить сертификат, подписанный слабым ключом. Это не «гость из интернета выполняет код на ESX». Workstation на ноутбуке разработчика и Cloud Director, через который компания раздаёт стенды, затронуты по одной причине: они возят свой набор корней. Исправления Broadcom обещает в следующих релизах, а не задним числом в уже стоящей сборке. Отдельная заметка 460066 касается стемов, стеков и buildpack-ов Tanzu: их тоже обновляют с портала, они не подхватывают системный ca-certificates сами.
Рядом имеет смысл обновить то, что не называется VMware, но везёт тот же список: базовые образы, Go, GitLab Runner. И не откладывать CVE-2026-41709 в ту же задачу. Журнал ESX и доверие к сертификату чинятся разными патчами.
Связанные услуги Lexora
Стенды на VMware, и непонятно, какой патч ждать
Разложим по продуктам: где ждать релиз Broadcom, а где достаточно обновить образ или Runner.