El INCIBE-CERT alerta de una vulnerabilidad de escritura fuera de límites en el SDDC Manager de Broadcom, crítica en VMware Cloud Foundation 9.1.1 y de impacto alto en las versiones anteriores del producto.
El aviso, con identificador INCIBE-2026-800, se publicó el miércoles 28 de octubre. Afecta al plano de control con el que las empresas administran sus nubes privadas: el SDDC Manager orquestra el ciclo de vida de VMware Cloud Foundation y VMware vSphere Foundation, desde el despliegue hasta las actualizaciones y la configuración de los clústeres. Un fallo ahí no compromete una máquina aislada, sino la consola que gobierna toda la infraestructura virtual de una organización.
EN 30 SEGUNDOS
- ¿Qué ha ocurrido? El INCIBE-CERT publica un aviso de alerta temprana sobre una escritura fuera de límites en el decodificador Brotli integrado en el SDDC Manager de Broadcom, registrada como CVE-2026-111497.
- ¿Dónde y cuándo? Aviso emitido el miércoles 28 de octubre de 2026 a las 10:06 horas; el CVE se hizo público el 21 de octubre de 2026.
- ¿Qué resultado? Severidad crítica (5) en SDDC Manager 9.1.1.x e impacto alto en 5.2.x, 9.0.x y 9.1.0, con posible ejecución arbitraria de código para un atacante con acceso de red. Parches pendientes.
La vulnerabilidad está catalogada con severidad 5, crítica. Broadcom identifica el riesgo de RCE (ejecución remota de código, la capacidad de un atacante de ejecutar instrucciones propias en el servidor afectado) para cualquier actor que alcance el servicio de gestión a través de la red. Los parches definitivos aún no están disponibles.
El fallo está en el decodificador Brotli, no en VMware
El origen del problema no está en el código propio de VMware. Khai Tran y Sylvie Mayer, del equipo Codex Security de OpenAI, informaron de una escritura fuera de límites en Brotli, el algoritmo de compresión integrado en Node.js. Broadcom ha confirmado que ese componente forma parte de SDDC Manager y que, por tanto, el defecto es explotable en el producto comercial.
El fallo técnico es una escritura fuera de límites: datos comprimidos manipulados desbordan el búfer reservado en memoria y permiten corromper estructuras internas del proceso. De ahí se derivan cuatro consecuencias posibles, que van de la revelación de información a la denegación de servicio, pasando por la corrupción de memoria y, en el peor escenario, la ejecución de código arbitrario.
El aviso INCIBE-2026-800 permanece activo y exige aplicar mitigaciones temporales antes de que Broadcom publique los parches definitivos de CVE-2026-111497.
Broadcom precisa que existe explotación confirmada de Brotli, aunque no hay confirmación específica de ataques dirigidos contra SDDC Manager. La diferencia importa: el código vulnerable está probado en condiciones reales de ataque, pero no consta un incidente documentado contra instalaciones corporativas del gestor de nubes.
Versiones afectadas y mitigaciones con parches pendientes
El aviso enumera las ramas afectadas. En VMware Cloud Foundation y VMware vSphere Foundation quedan dentro del alcance SDDC Manager 9.1.1, 9.1.0 y 9.0.x. En VMware Cloud Foundation, la rama 5.2.x. Broadcom califica el impacto como crítico en 9.1.1.x y alto en el resto de versiones indicadas.
Mientras no haya correcciones, INCIBE-CERT remite a dos procedimientos oficiales. Para SDDC Manager 9.1.1.x, el documento KB460732 bloquea los cuerpos de peticiones Brotli tanto en nginx como en el servicio de la interfaz.
Para 5.2.4, 9.0.2 y 9.1.0 existe una segunda medida: el KB460734 deshabilita directamente el descompresor Brotli que utiliza el servicio de la interfaz. Ambas actuaciones exigen copia de seguridad previa y el reinicio de los servicios implicados.
El aviso pide completar las comprobaciones indicadas en cada documento antes de dar el sistema por protegido. Para el resto de versiones afectadas, el organismo recomienda confirmar la aplicabilidad con el soporte del fabricante y consultar el boletín VMSA-2026-0008 para conocer la disponibilidad de las correcciones definitivas.
El panorama de la ciberseguridad
El caso ilustra una tendencia consolidada: la vulnerabilidad no nace en el producto comercial, sino en una dependencia de código abierto —Brotli dentro de Node.js— que el fabricante integra y hereda. La cadena de suministro de software se ha convertido en una de las principales vías de entrada del cibercrimen, y los avisos de alerta temprana del INCIBE-CERT son la primera barrera de defensa del tejido productivo español.
La eficacia de ese modelo depende de la velocidad de reacción. Los avisos de severidad crítica con explotación confirmada se publican con instrucciones operativas concretas —documentos de referencia, servicios a deshabilitar, secuencia de reinicios— para que un administrador sin equipo especializado pueda actuar en horas, no en semanas. Ese es el valor diferencial del INCIBE-CERT, el equipo de respuesta ante incidentes del Instituto Nacional de Ciberseguridad, frente a un boletín técnico al uso.
Queda la proyección. Broadcom mantiene abierta la investigación sobre CVE-2026-111497 y el boletín de referencia, VMSA-2026-0008, será el canal por el que se anuncien las correcciones. Un SDDC Manager sin mitigar y expuesto a la red es, hoy, un punto de apoyo desde el que un atacante puede alcanzar el plano de control de una nube privada completa.
