Falla crítica de VMware con ransomware: qué revisar hoy

El 15 de septiembre de 2026 CISA, la agencia de ciberseguridad del gobierno de Estados Unidos, confirmó que bandas de ransomware ya explotan una vulnerabilidad crítica de VMware vCenter que permite ejecutar código a distancia, según reportó BleepingComputer. En cristiano: quien alcance tu vCenter puede adueñarse de todos los servidores virtuales que dependen de él.

Y ahí es donde duele. En muchas pymes mexicanas el ERP, el servidor de archivos y hasta el correo viven como máquinas virtuales sobre un ESXi que instaló un proveedor hace años y que nadie ha vuelto a tocar. Esta guía es para revisarlo hoy, sin tirar la operación.

86% de las pymes sufrió un incidente de ciberseguridad el último año

15 sep CISA confirma explotación activa con ransomware detrás

Por qué un solo hueco en vCenter te tira toda la empresa

Un servidor físico, muchos servidores dentro ESXi convierte una máquina en varias; vCenter es la consola que las manda a todas. Quien controla la consola, controla todo.

Vamos por partes. ESXi es el sistema que convierte un servidor físico en varios servidores virtuales, las famosas VMs. vCenter es la consola desde la que se administran todos esos ESXi a la vez.

Por eso a las bandas de ransomware les encanta: no necesitan entrar máquina por máquina. Toman la consola, apagan las VMs y cifran los discos completos de un jalón. El lunes el de contabilidad no abre el ERP, recepción no tiene correo y la planta no imprime órdenes.

Primero: qué versión tienes y si te toca

Inventario antes que nada Versión y build de vCenter y de cada ESXi, con captura. Sin ese dato no puedes saber si estás expuesto.

Entra a la consola web de vCenter y busca el número de versión y de build en el menú de Ayuda, en Acerca de. En ESXi, la página principal del host lo muestra arriba. Anótalo con captura de pantalla, porque te lo van a pedir.

Luego compáralo contra el aviso de seguridad de Broadcom, la dueña de VMware. Si tu build es anterior al parche, te toca. Si el proveedor que lo instaló ya no contesta el teléfono, también te toca, y con más prisa.

Una regla que repetimos mucho: si no sabes cuándo se parchó por última vez, asume que nunca.

vCenter y ESXi nunca deben verse desde internet

Consola solo por VPN La administración de la virtualización va por VPN o red interna aparte. Si se ve desde tu casa, se ve desde cualquier lado.

Esto es lo más importante de todo el artículo. Abre el navegador desde tu casa, con datos del celular, y prueba la dirección pública de tu oficina. Si te aparece una pantalla de inicio de sesión de VMware, tienes un problema hoy, con o sin parche.

La consola de virtualización se administra por VPN o desde una red interna aparte. Punto. Y mientras cierras eso, revisa que el respaldo no cuelgue del mismo vCenter que quieres proteger.

Snapshot, respaldo y luego el parche, en ese orden

Antes de tocar nada Un snapshot te regresa en minutos si el parche falla. Un respaldo probado te salva si el ransomware llega antes.

Un snapshot es una foto del estado de la VM que permite regresar en minutos. No sustituye al respaldo: si cifran el disco físico, el snapshot se va con él.

Paso	Qué haces	Tiempo fuera
1. Respaldo completo	Copia de las VMs críticas fuera del host y prueba de restauración	Cero
2. Snapshot	Foto de vCenter y de cada ESXi antes del cambio	Cero
3. Parchar vCenter	Va primero porque es la consola	Minutos sin consola, las VMs siguen corriendo
4. Parchar ESXi uno por uno	Mover las VMs al otro host, parchar, regresar	Cero con dos hosts; una ventana nocturna con uno
5. Verificar y borrar snapshots	Confirmar versión nueva y limpiar	Cero

Si tienes un solo servidor, programa la ventana en la noche o el fin de semana y avísale a la gente. Las VMs se apagan unos minutos, no horas. Cómo dejar respaldos que de verdad regresen lo contamos en respaldos que sí restauran tras ransomware.

Señales de que ya entraron

Parchar cierra la puerta, pero no saca a quien ya está adentro. Revisa esto antes de dar el tema por cerrado:

Usuarios nuevos en vCenter o ESXi que nadie creó.
Sesiones SSH activas en el ESXi cuando nadie lo está usando.
Snapshots o VMs que no reconoces, sobre todo con nombres raros.
Tareas programadas o scripts recientes en el host.
Respaldos que dejaron de correr o que alguien borró sin aviso.

Servidores virtualizados en una empresa mexicana — Si tu ERP vive en una VM, vale una llamada hoy Foto: Pexels

¿Y en tu empresa?

Si al leer esto no supiste qué versión de ESXi tienes ni cuándo se parchó, ese ya es el diagnóstico. No es culpa de nadie: los servidores que funcionan no llaman la atención hasta que dejan de hacerlo.

En ProcessBi revisamos servidores y virtualización, dejamos el parcheo programado dentro de la póliza con SLA por escrito y probamos que los respaldos restauren de verdad. Si tu empresa es extranjera con operación en México, tenemos manos en sitio en todo el país.

Pide una revisión de tus servidores — respondemos el mismo día hábil.

Ransomware ya explota una falla crítica de VMware: qué revisar hoy en los servidores virtualizados de tu empresa