Vulnerabilidad bajo explotación en VMware Aria Operations
El 3 de marzo del presente año, la Agencia de Ciberseguridad y Seguridad de Infraestructura de los Estados Unidos de America (CISA) integró a su Catálogo de Vulnerabilidades Explotadas Conocidas (KEV) una vulnerabilidad de alta severidad presente en VMware Aria Operations.
VMware Aria Operations es una herramienta de gestión de operaciones en la nube que permite monitorear, analizar y optimizar la infraestructura, desde recursos físicos y virtuales hasta sus aplicaciones, en múltiples entornos en la nube.
Con una puntuación CVSS de 8.1, la vulnerabilidad registrada como CVE-2026-22719 podría permitir que un actor malicioso no autenticado ejecute comandos arbitrarios que facilitan la ejecución de código remoto mientras está en progreso una migración del producto.
Las actualizaciones para remediar esta vulnerabilidad están disponibles desde el 24 de febrero del 2026, sin embargo, Broadcom también liberó un script como mitigación temporal para aquellos usuarios que no puedan actualizar inmediatamente.
El script llamado “aria-ops-rce-workaround.sh” es capaz de deshabilitar componentes vulnerables asociados al proceso de migración, como el archivo /usr/lib/vmware-casa/migration/vmware-casa-migration-service.sh. Además, modifica la configuración de privilegios en el archivo sudoers eliminando una línea que permite ejecutar el script vmware-casa-workflow.sh con permisos root sin requerir autenticación (NOPASSWD: /usr/lib/vmware-casa/bin/vmware-casa-workflow.sh).
Las actualizaciones también corrigen otras dos vulnerabilidades en VMware Aria Operations: CVE-2026-22720, una vulnerabilidad clasificada con alta importancia que podría permitir que un atacante con permisos para crear benchmarks inyecte scripts maliciosos con el fin de ser capaz de realizar acciones administrativas, y CVE-2026-22721, una vulnerabilidad de severidad media que podría ser aprovechada por un usuario autenticado para elevar sus privilegios y obtener permisos de administrador.
Versiones Afectadas
| Productos | Versiones afectadas | Versiones corregidas |
| VMware Aria Operations | Versiones 9.x.x.x | Versión 9.0.2.0 |
| Versiones 8.x | Versión 8.18.6 |
Recomendaciones
- Actualizar las versiones afectadas a las versiones corregidas.
- Establecer controles de acceso SSH basados en la red para minimizar el riesgo de ataque
- Auditar herramientas de acceso remoto. (NIST CSF, 2024)
- Revisar logs para de ejecución de software de acceso remoto. (NIST CSF, 2024)
- Limitar estrictamente el uso de los protocolos SMB y RDP.
- Realizar auditorías de seguridad. (NIST CSF, 2024)
- Deshabilitar los servicios y procesos no requeridos para reducir los vectores de ataque. (NIST CSF, 2024)
- Tener filtros de correo electrónico y spam.
- Concientizar a los empleados sobre los métodos de Phishing e Ingeniería social.
- Realizar copias de seguridad, respaldos o back-ups constantemente.
- Mantener los respaldos desconectados de la red de la organización, verificando constantemente la confidencialidad, integridad y disponibilidad de estos.
- Revisar continuamente los privilegios de los usuarios.
- Tener una solución EDR robusta configurada adecuadamente basada en las mejores prácticas (de acuerdo con documentación de fabricante).
- Habilitar la autenticación multifactorial.
Referencias
- Broadcom. (2026, febrero 24). VMSA-2026-0001: VMware Aria Operations updates address multiple vulnerabilities (CVE-2026-22719, CVE-2026-22720 and CVE-2026-22721). Recuperado el 6 de marzo del 2026, en: https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/36947
- Kovacs, E. (2026, marzo 4). VMware Aria Operations Vulnerability Exploited in the Wild. SecurityWeek. Recuperado el 6 de marzo del 2026, en: https://www.securityweek.com/vmware-aria-operations-vulnerability-exploited-in-the-wild/
- Abrams, L. (2026, marzo 3). CISA flags VMware Aria Operations RCE flaw as exploited in attacks. Bleeping Computer. Recuperado el 6 de marzo del 2026, en: https://www.bleepingcomputer.com/news/security/cisa-flags-vmware-aria-operations-rce-flaw-as-exploited-in-attacks/
- Lakshmanan, R. (2026, marzo 4). CISA Adds Actively Exploited VMware Aria Operations Flaw CVE-2026-22719 to KEV Catalog. The Hacker News. Recuperado el 6 de marzo del 2026, en: https://thehackernews.com/2026/03/cisa-adds-actively-exploited-vmware.html
