Broadcom ha annunciato VMware HyperArmor, una soluzione software che protegge ESX, l’hypervisor di VMware Cloud Foundation (VCF), dalle vulnerabilità non ancora corrette e dal furto delle credenziali root. Funziona senza riavviare gli host e senza agent installati nelle macchine virtuali.

Secondo Broadcom, la maggior parte degli attacchi agli hypervisor dipende da due fattori: il furto delle credenziali root e le vulnerabilità note ma non ancora corrette tramite patch. HyperArmor, compatibile con ESX 8.x e versioni successive, interviene su entrambi questi aspetti.

La premessa è che l’intelligenza artificiale ha accorciato enormemente i tempi tra la scoperta di una vulnerabilità e un attacco che la sfrutti. Per Paul Turner, Chief Product Officer della divisione VMware Cloud Foundation di Broadcom, quando gli attacchi avvengono alla velocità delle macchine, “il rilevamento reattivo e l’applicazione di patch non sono più sufficienti”. L’approccio scelto è consentire l’esecuzione sull’host solo di ciò che è considerato “sicuro e affidabile”.

Le tre funzioni di HyperArmor

  • Virtual patching a livello host. Il virtual patching è una tecnica che blocca i tentativi di sfruttare una vulnerabilità senza modificare il software vulnerabile. HyperArmor rileva e blocca le azioni malevole all’interno dei nodi host prima che una falla possa essere sfruttata. Non servono riavvii né aggiornamenti: i team di sicurezza riducono la finestra di esposizione, mentre quelli IT possono testare e applicare le patch ufficiali con i propri tempi. La funzione si affianca al virtual patching di rete già offerto da VMware vDefend.
  • Positive Host Security Guardrails. Un host ESX esegue un insieme limitato e ben definito di processi. HyperArmor ne ricava una baseline di sicurezza “positiva” (cioè un elenco di ciò che è consentito) e blocca automaticamente qualsiasi eseguibile o script non autorizzato. Gli script già presenti sull’host vengono inventariati e ammessi; i nuovi devono essere approvati dagli amministratori. Il controllo avviene a livello infrastrutturale, senza agent nelle VM guest, e secondo Broadcom con un impatto minimo sulle prestazioni. Secondo Broadcom, questa funzione è in grado di proteggere anche dalle vulnerabilità non note.
  • Autenticazione multifattore a livello di hypervisor. L’MFA è integrata nel processo di accesso SSH a ESX. Dopo le credenziali standard, serve una password monouso a tempo (one-time password), associata a un’identità definita separatamente. Un attaccante che ottenga la password root tramite phishing o fuga di credenziali non può quindi aprire la riga di comando senza il secondo fattore. È singolare che, nel 2026, la protezione multi fattore di infrastrutture così sensibili venga ancora considerato un optional da acquistare a parte.

Dove si colloca nella sicurezza di VCF

VCF include già una gestione centralizzata delle identità, crittografia dei dati a riposo e in transito e il live patching di vSphere, che applica aggiornamenti critici all’hypervisor senza interrompere i carichi di lavoro. VMware vDefend copre invece la sicurezza laterale con micro-segmentazione, rilevamento e prevenzione delle minacce e virtual patching di rete. HyperArmor completa il quadro sul lato dell’hypervisor: Broadcom lo presenta come l’ultimo tassello di una difesa in profondità che copre infrastruttura, rete e hypervisor.

Stephen Elliot, Group Vice President, Software Development and IT Operations di IDC, sostiene che i responsabili tecnologici dovrebbero privilegiare controlli preventivi che rafforzino il livello di virtualizzazione in modo nativo, “anziché affidarsi ad agent esterni o a meccanismi di rilevamento successivi a un incidente”.

Altre informazioni sono disponibili nella pagina dedicata a VMware HyperArmor.