С 2 октября 2025 года VMware официально завершила поддержку версии vSphere 7.0, прекратив выпуск любых обновлений, включая патчи по уязвимостям. Это означает, что все системы, работающие на этой версии, больше не получают исправлений для критических уязвимостей, в том числе CVE-2024-37080, позволяющей удалённо выполнять произвольный код через vCenter Server, и CVE-2025-41244, дающей возможность эскалации привилегий до системного уровня без аутентификации. Уязвимость CVE-2025-41244, обнаруженная в сентябре 2025 года, пока не имеет публично доступного эксплойта, но её наличие в незащищённой среде создаёт потенциальную точку входа для целенаправленных атак.

vSphere 7.0 была последней версией, легально доступной для российских компаний до марта 2022 года, когда VMware прекратила прямые продажи на территории России. На момент ухода вендора более 80% корпоративных инфраструктур использовали именно эту версию. До сих пор она остаётся основной в тех организациях, которые не завершили процесс импортозамещения.

Доступ к обновлениям теперь ограничен: загрузка любых файлов, включая патчи и драйверы, требует авторизации на официальном портале VMware. Ранее часть обновлений, например для VMware Workstation, распространялась через публичные CDN без идентификации пользователя. Сейчас все ссылки генерируются персонально и привязаны к учётной записи. Вендор внедрил системы мониторинга активности, позволяющие выявлять аномалии: несоответствие между количеством лицензий и объёмом скачиваемых обновлений, нехарактерные объёмы трафика, попытки массовой загрузки через сторонние юридические лица. Такие действия могут привести к деавторизации всех связанных с ними лицензий — включая уже активные в российской инфраструктуре.

Официальный переход на vSphere 8.0 невозможен в России: продукт доступен исключительно по подписке, а миграция с 7.0 требует полной замены лицензионных ключей, что невозможно без прямого взаимодействия с VMware. Альтернативные каналы — через дочерние юрлица за рубежом или сторонние репозитории — становятся технически рискованными и юридически неустойчивыми. Компании, использующие такие схемы, подвергаются риску блокировки не только доступа к обновлениям, но и потери работоспособности существующих систем.

В результате инфраструктуры, работающие на vSphere 7.0, остаются без защиты от новых уязвимостей. Регулярное обнаружение критических брешей в гипервизоре ESXi — например, в мае 2025 года была выявлена уязвимость переполнения целого числа, позволявшая обойти изоляцию гипервизора — подтверждает, что угрозы продолжают появляться. Отсутствие патчей означает, что каждая новая уязвимость становится потенциальной точкой входа для атак, направленных на компрометацию виртуальных машин, перехват данных, эскалацию привилегий и выход за пределы виртуальной среды.

Российские предприятия, использующие vSphere 7.0, находятся в ситуации, когда эксплуатация системы не нарушает функциональность, но увеличивает экспозицию киберугрозам. Риск не в сбое, а в целенаправленном использовании незакрытых уязвимостей — особенно в условиях высокой активности хакерских групп, ориентированных на российские объекты. Регуляторы требуют защиты критической инфраструктуры, но не все компании готовы мигрировать на отечественные решения из-за сложности переноса, затрат и необходимости перестройки процессов.

В такой среде миграция на российские платформы виртуализации — такие как zVirt, RedOS с KVM, «Силарон» или «Альт Линукс» с OpenStack — становится не просто соответствием нормативам, а необходимостью для обеспечения долгосрочной устойчивости. Эти решения обеспечивают не только соответствие требованиям импортозамещения, но и независимость от внешних поставщиков, регулярное обновление, локальную техническую поддержку и возможность масштабирования в рамках отечественной экосистемы.

Пока система vSphere 7.0 работает — она работает. Но каждая прошедшая неделя без обновлений увеличивает количество неисправленных уязвимостей, а значит — повышает вероятность того, что в будущем одна из них будет использована для атаки, последствия которой будут необратимы.