Per anni abbiamo raccontato la virtualizzazione come una sorta di fortezza.
Macchine virtuali ben separate, muri spessi, isolamento garantito. Un condominio ordinato dove ognuno resta nel proprio appartamento senza mai disturbare il vicino. E invece no. VMware ha appena pubblicato un bollettino di sicurezza che ci ricorda una verità scomoda: anche i muri migliori, a volte, hanno delle crepe.
La vulnerabilità in questione riguarda VMware ESXi e permette a una macchina virtuale di sbirciare fuori dal proprio perimetro, leggendo porzioni di memoria appartenenti ad altre VM che girano sullo stesso host fisico. Tradotto in modo brutale: un inquilino riesce a bucare il muro ed entrare nell’appartamento accanto, senza lasciare tracce evidenti.
Cosa è successo, in concreto
La falla è identificata come CVE-2025-22230 e colpisce il modo in cui ESXi gestisce la memoria condivisa tra le macchine virtuali.
Un attaccante che ha già accesso a una VM — anche con privilegi limitati — può sfruttare questa vulnerabilità per leggere la memoria di altre VM presenti sullo stesso host.
E quando si parla di memoria, non si parla di sciocchezze. Dentro la RAM passano password, chiavi crittografiche, token di autenticazione, dati sensibili, informazioni temporanee che spesso non finiscono mai su disco ma che sono fondamentali per la sicurezza di un sistema.
VMware ha assegnato a questa vulnerabilità un punteggio CVSS di 8.8 su 10. Non è il massimo assoluto, ma è abbastanza alto da far scattare un campanello d’allarme serio, soprattutto in ambienti di produzione.
Quali versioni di ESXi sono coinvolte
Qui arriva la parte meno piacevole, perché non tutti potranno risolvere con una semplice patch.
Versioni vulnerabili:
-
ESXi 8.0 fino alla Update 3
-
ESXi 7.0 fino alla Update 3
Versioni corrette:
-
ESXi 8.0 Update 4 o successive
-
ESXi 7.0 Update 3 Patch 03 o successive
Se stai usando ESXi 6.x o versioni ancora più vecchie, la situazione è ancora più delicata: sei vulnerabile, ma non riceverai alcuna patch, perché quelle release sono fuori supporto. In quel caso non ci sono scorciatoie: l’unica strada è l’upgrade.
Perché questa vulnerabilità è particolarmente pericolosa
La virtualizzazione si regge su un principio non negoziabile: l’isolamento. Se metto più macchine virtuali sullo stesso server fisico, lo faccio perché mi fido del fatto che restino separate, anche in caso di compromissione di una di esse. Questa vulnerabilità rompe esattamente quel presupposto. E lo fa nel modo peggiore possibile: dal basso, partendo da una VM apparentemente innocua.
In ambienti aziendali o cloud le implicazioni sono pesanti, soprattutto per:
-
provider cloud multi-tenant
-
data center che ospitano workload di reparti diversi
-
ambienti di sviluppo e test condivisi
-
infrastrutture dove convivono VM con livelli di criticità differenti
In uno scenario estremo, compromettere una sola VM potrebbe diventare il punto di ingresso per accedere ai dati di molte altre. Ed è esattamente il tipo di situazione che un attaccante sogna.
Cosa fare, senza perdere tempo
La risposta breve è una sola: patchare subito.
I passaggi consigliati sono quelli classici, ma qui non c’è molto margine per rimandare:
-
verifica la versione di ESXi in uso
-
scarica la patch corretta dal portale VMware
-
pianifica una finestra di manutenzione
-
applica l’aggiornamento e riavvia l’host
-
verifica che tutto sia andato a buon fine
Se per motivi operativi non puoi intervenire immediatamente, VMware suggerisce alcune misure di mitigazione temporanee:
-
limitare al minimo gli accessi alle VM
-
aumentare il monitoraggio dei log
-
separare le VM più critiche su host dedicati
-
rafforzare i controlli di rete
Ma è bene essere chiari: sono solo cerotti, non una cura.
Uno sguardo più ampio
Negli ultimi anni ESXi è stato più volte nel mirino, anche da parte di gruppi ransomware che hanno sfruttato vulnerabilità critiche per colpire interi data center. Il fatto che questa falla sia stata individuata e corretta prima di diventare di dominio pubblico è sicuramente positivo, ma non deve farci abbassare la guardia. La virtualizzazione resta una tecnologia matura, solida, indispensabile.
Ma non è immune. E soprattutto non è “installi e dimentichi”.
Il mio punto di vista
Questa vulnerabilità ci ricorda una cosa che nel mondo IT tendiamo a dimenticare: l’isolamento perfetto non esiste. Ogni livello di astrazione ha un punto debole, prima o poi. Il vero problema, più ancora della falla in sé, è culturale. Molte infrastrutture di virtualizzazione vengono trattate come “stabili per definizione”, e gli aggiornamenti vengono rimandati per paura di toccare qualcosa che funziona.
È comprensibile, ma è pericoloso.
Il mio consiglio è semplice: questa patch va trattata come prioritaria. Se gestisci VMware, pianifica l’intervento. Se non sei tu a farlo, assicurati che chi se ne occupa sappia cosa sta succedendo. E per chi usa ESXi fuori supporto: lo so, aggiornare costa tempo, denaro e fatica. Ma continuare così costa molto di più, solo che il conto arriva tutto insieme, e nel momento peggiore. Per i provider cloud e per i contesti multi-tenant, questa vulnerabilità è un avvertimento forte: l’isolamento è il tuo prodotto. Se viene meno, viene meno tutto il resto.
Meglio affrontare un upgrade oggi, con calma e metodo, che trovarsi domani a gestire un incidente di sicurezza che non doveva nemmeno esistere.
