Producto(s) afectado(s):
| Producto | Versiones afectadas | CVSS v3 | Versión corregida |
| VMware Cloud Foundation – SDDC Manager | 9.1.1.x | 9.8 (crítica) | Aún no disponible |
| VMware Cloud Foundation – SDDC Manager | 9.0.x y 9.1.0 | 7.5 (importante) | Aún no disponible |
| VMware Cloud Foundation – SDDC Manager | 5.2.x | 7.5 (importante) | Aún no disponible |
Descripción
Se ha publicado una vulnerabilidad crítica en el componente SDDC Manager de VMware Cloud Foundation (CVE-2026-111497): una escritura fuera de límites en el decodificador Brotli de Node.js que permite a un atacante con acceso de red a SDDC Manager ejecutar código arbitrario. El proveedor la califica con CVSS v3 de hasta 9.8 (crítica), puntaje que aplica únicamente a la versión 9.1.1.x.
En 9.1.1.x el proveedor asigna CVSS v3 9.8 (vector de red y complejidad de ataque baja). En las versiones 9.0.x, 9.1.0 y 5.2.x asigna CVSS v3 7.5 (importante), con vector de red adyacente y complejidad de ataque alta; estas versiones siguen afectadas, aunque no de forma crítica.
Se trata de la misma vulnerabilidad de Brotli tratada en la Alerta 2026-124 (Node2Shell/HTTP2Shell) y en la Alerta 2026-125 (Palo Alto PAN-OS). La CVE-2026-111497 figura en el catálogo de vulnerabilidades explotadas conocidas (KEV) desde el 27/10/2026, con fecha límite de remediación el 10/11/2026. El aviso del proveedor no menciona explotación contra VMware Cloud Foundation.
El proveedor indicó que todavía no hay una versión corregida disponible y no informó una fecha de publicación.
Mitigación
Hasta que se publique la corrección, el proveedor ofrece dos medidas temporales, aplicables únicamente a esta vulnerabilidad. Ambas requieren respaldar previamente el appliance de SDDC Manager.
- SDDC Manager 9.1.1.x (KB460732): se agrega una regla en nginx y un middleware en la aplicación de interfaz que rechazan con el código 415 las peticiones con el encabezado Content-Encoding: br. Requiere recargar nginx y reiniciar el servicio sddc-manager-ui-app (no el appliance).
- SDDC Manager 5.2.x, 9.0.x y 9.1.0 (KB460734): se deshabilita zlib.createBrotliDecompress en el servicio de interfaz mediante la variable NODE_OPTIONS. Requiere reiniciar el servicio sddc-manager-ui-app. El artículo está redactado para 5.2.x, 9.0.2 y 9.1.0 (su título cita 5.2.4, 9.0.2 y 9.1.0).
Como recomendación general de Beacon Lab, se debe restringir el acceso de red a SDDC Manager únicamente a las redes y a los administradores que lo requieran.
Solución
La corrección del proveedor aún no está disponible. Se debe aplicar el parche en cuanto sea publicado.
Información adicional:
- Broadcom — aviso de seguridad VMSA-2026-0008 (emitido el 27/10/2026, revisión .1 del 28/10/2026):
https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/39445 - Broadcom — KB460732, medida temporal para SDDC Manager 9.1.1.x:
https://knowledge.broadcom.com/external/article?articleNumber=460732 - Broadcom — KB460734, medida temporal para SDDC Manager 5.2.x, 9.0.2 y 9.1.0:
https://knowledge.broadcom.com/external/article?articleNumber=460734 - CISA — catálogo de vulnerabilidades explotadas conocidas (KEV):
https://www.cisa.gov/known-exploited-vulnerabilities-catalog - Beacon Lab — Alerta 2026-124, vulnerabilidad crítica en Node.js (Node2Shell):
https://beaconlab.us/publicacion/alerta-2026-124-vulnerabilidad-critica-en-node-js-node2shell/ - Beacon Lab — Alerta 2026-125, vulnerabilidades críticas en Palo Alto PAN-OS (Brotli y PHP2Shell):
https://beaconlab.us/publicacion/alerta-2026-125-vulnerabilidades-criticas-en-palo-alto-pan-os-brotli-y-php2shell/