Broadcom et VMware : Les anciens contrats perpétuels de licence deviennent une piège pour les clients

Depuis l’acquisition de VMware par Broadcom, la situation des clients détenteurs de licences perpétuelles a été radicalement modifiée. Ce qui était auparavant un modèle commercial prévisible, permettant d’acquérir une licence une fois pour bénéficier de mises à jour de sécurité essentielles, s’est transformé en un véritable piège. Actuellement, sans contrat de support actif, il est impossible de télécharger des correctifs de sécurité, même pour des vulnérabilités critiques.

La sécurité en péril : Sans paiement, pas de protection

Ce changement de politique est d’autant plus inquiétant en raison des récentes vulnérabilités de sécurité critiques découvertes dans VMware ESXi. En mars 2025, Broadcom a confirmé plusieurs failles de sécurité, dont certaines sont déjà exploitées par des attaquants :

• CVE-2025-22224 (CVSS 9.3, Critique) – Permet à un attaquant avec accès à une machine virtuelle d’exécuter du code sur l’hyperviseur hôte.
• CVE-2025-22225 (CVSS 8.2, Important) – Permet l’écriture arbitraire dans le noyau, pouvant conduire à un contournement de l’environnement virtualisé.
• CVE-2025-22226 (CVSS 7.1, Important) – Fuite de mémoire depuis le processus VMX d’ESXi, pouvant être utilisée dans des attaques avancées.

Chacune de ces vulnérabilités représente un risque imminent pour les infrastructures virtualisées, permettant potentiellement l’exécution de ransomware et des accès non autorisés aux systèmes. Cependant, Broadcom a décidé de restreindre l’accès aux correctifs de sécurité, exigeant que les clients possédant des licences perpétuelles renouvelent leur contrat de support avant de pouvoir les télécharger.

Témoignage réel : La réponse de Broadcom

Pour vérifier cette problématique, une demande a été faite pour obtenir le correctif de sécurité pour une installation de VMware ESXi 6.7, version largement utilisée par les entreprises. Voici l’échange avec le support de Broadcom :

Question : Comment pouvons-nous télécharger le correctif de sécurité pour une installation de VMware ESXi 6.7 avec licence perpétuelle ?

Réponse de l’agent de Broadcom :
« Après une enquête supplémentaire, le contrat de la clé de licence sur l’ID de site XXXXXXX a expiré le 23 janvier 2025. Pour télécharger le correctif, le contrat de la clé de licence doit être renouvelé. De plus, la version actuelle de la clé de licence est en 7, donc pour de futures renouvellements, il est nécessaire de dégrader la clé à la version 6 afin de pouvoir télécharger le correctif 6.7. »

En d’autres termes, même si un client a payé pour une licence perpétuelle, il ne peut pas télécharger de correctifs de sécurité sans un contrat actif. Dans ce cas, il ne suffit pas de renouveler le contrat : une demande spéciale pour « dégrader » la licence à une version antérieure est requise.

Quelles sont les implications de ce changement ?

Ce que Broadcom fait avec VMware établit un précédent dangereux dans le secteur du logiciel d’entreprise. Voici quelques-unes des conséquences les plus préoccupantes :

1️⃣ Blocage des mises à jour essentielles : Si vous avez une version perpétuelle, vous ne pouvez pas protéger votre infrastructure sans payer un contrat supplémentaire.

2️⃣ Poussée forcée vers des versions plus récentes : Broadcom souhaite que tous migrent vers vSphere 8, forçant les entreprises à des mises à jour qu’elles ne sont peut-être pas prêtes à effectuer.

3️⃣ Danger pour la cybersécurité : Sans correctifs de sécurité, les versions anciennes restent exposées aux attaques, augmentant les risques pour les entreprises et leurs données.

4️⃣ Modèle commercial abusif : Auparavant, une licence perpétuelle garantissait l’accès aux corrections de sécurité. Maintenant, Broadcom l’a transformée en un modèle d’abonnement déguisé, retirant l’option d’exploiter un logiciel sûr sans paiements continus.

Un précédent inquiétant pour l’industrie

Le cas de VMware illustre clairement comment la monopolisation et l’acquisition d’entreprises technologiques peuvent nuire aux clients. Les entreprises et administrateurs de systèmes qui faisaient confiance à VMware pour leur infrastructure se retrouvent maintenant confrontés à un choix difficile :

✔ Payer des contrats coûteux pour accéder à des correctifs de sécurité de base.
✖ Continuer à utiliser un logiciel vulnérable, exposant leurs données et systèmes aux attaques.
🔄 Migrer vers un autre fournisseur de virtualisation, ce qui induit des coûts élevés en temps et en ressources.

Que peuvent faire les utilisateurs ?

Si vous êtes affecté par cette nouvelle politique de Broadcom, envisagez ces options :

🔹 Explorez des alternatives de virtualisation : Des options comme Proxmox VE, KVM, ou même Microsoft Hyper-V peuvent être viables selon votre environnement.
🔹 Faites pression sur Broadcom et VMware : Exposez le problème publiquement dans des forums, sur les réseaux sociaux et dans les canaux de support. Plus la pression sera forte, plus les chances que l’entreprise reconsidère sa politique augmenteront.
🔹 Évaluez l’impact de ne pas mettre à jour : Bien qu’il s’agisse d’un risque de sécurité, certaines organisations peuvent partiellement atténuer les problèmes grâce à des pare-feu et à la segmentation du réseau.
🔹 Contactez des distributeurs et des fournisseurs : Dans certains cas, des distributeurs de licences peuvent avoir des options pour accéder à des correctifs sans contrat direct avec Broadcom.

Conclusion

Le virage qu’a pris VMware sous Broadcom met en péril les entreprises qui comptaient sur son modèle de licences perpétuelles. Bloquer l’accès aux correctifs de sécurité est irresponsable et dangereux, surtout concernant des vulnérabilités critiques déjà exploitées par des attaquants.

Broadcom a transformé la sécurité de ses clients en une marchandise, les contraignant à payer pour ce qui était auparavant un droit fondamental pour tout utilisateur de logiciel d’entreprise. Dans un monde où les menaces cybernétiques augmentent chaque jour, cette décision pourrait mettre en danger des milliers d’entreprises et d’organisations qui dépendent de VMware.

Si VMware et Broadcom ne reviennent pas sur cette politique, le message est clair : il est temps de chercher des alternatives avant qu’il ne soit trop tard.