29/07/2026 · Par Thomas Spanier · 9 min de lecture · Source : The Register

Un rapport publié le 29 juillet 2026 par CIO.com formalise ce que beaucoup de DSI redoutaient depuis le rachat par Broadcom : d'ici octobre 2027, il faut être passé sur VMware Cloud Foundation 9. Les analystes cités anticipent que plus d'un tiers des charges VMware basculera sur d'autres plateformes d'ici 2028. Pour un DSI, cela veut dire ouvrir dès ce trimestre un plan de sortie chiffré ; à défaut, c'est Broadcom qui fixera le calendrier.

Octobre 2027 : deux calendriers Broadcom qui se percutent

Deux dates encadrent le sujet. Le support général de VMware vSphere 7 s'est arrêté le 2 octobre 2025 (Expedient). Celui de vSphere 8 tombera le 11 octobre 2027, échéance confirmée par les deux sources croisées ici. Après ces seuils, plus aucun correctif de sécurité ne sort pour l'hyperviseur concerné.

Autre volet du dossier, Broadcom a supprimé l'intégralité des licences perpétuelles après le rachat de VMware. Rester sous correctifs officiels impose donc de basculer sur un abonnement VMware Cloud Foundation 9. La refonte touche tout le portefeuille : vmware workstation, VMware Fusion et VMware ESXi ont été réalignés sur le catalogue Broadcom dès 2024, avec des grilles tarifaires reconstruites. Le vmware workstation download gratuit pour usage personnel a survécu ; l'offre professionnelle, elle, a été absorbée.

VCF 9 n'est pas un produit neuf, c'est un empilement rebaptisé

Broadcom vend VMware Cloud Foundation 9 comme la plateforme unifiée du groupe. La réalité est plus modeste : VCF existait déjà avant l'acquisition, comme package assemblant vSphere, vSAN et NSX. Ce qui change vraiment, c'est le caractère non optionnel de la migration et la disparition des portes de sortie tarifaires que les clients utilisaient depuis quinze ans.

La communication éditeur insiste sur la simplification. Les échanges avec des DSI qui ont ouvert un renouvellement racontent l'inverse : la refonte des SKU force une reclassification des charges, avec des factures qui grimpent de 30 à 300 % selon le point de départ. Nous n'avons pas pu vérifier ces ordres de grandeur sur un panel représentatif ; chiffres à confronter à votre propre inventaire avant toute présentation en interne.

PCI DSS 4.0, HIPAA, SOC 2 : la fin de support déclenche une cascade de non-conformités

Un hyperviseur non corrigé constitue, selon Expedient, un échec automatique de conformité sur trois référentiels majeurs. Le calendrier VMware ne concerne pas que la production : il touche directement l'audit.

Le premier verrou tombe côté paiement. PCI DSS 4.0 impose, via son exigence 6.3.3, l'application des correctifs fournisseur sous 30 jours. Sans patch VMware disponible, le Report on Compliance échoue mécaniquement, et les privilèges de traitement des paiements par carte deviennent contestables. Aucun QSA n'a intérêt à couvrir une exception sur un socle sans fournisseur derrière lui.

Sur le terrain HIPAA, l'Office for Civil Rights du HHS considère qu'exploiter un hyperviseur non corrigé touché par un ransomware peut relever de la « willful neglect » (négligence délibérée). Les pénalités civiles vont de 71 000 à 2,1 millions de dollars par violation. La qualification juridique n'est pas théorique, elle existe déjà.

SOC 2 Type II traite le sujet via son critère CC7.1 (gestion des correctifs), qui range une infrastructure en fin de vie parmi les défaillances systémiques du dispositif de contrôle. L'opinion d'audit défavorable qui en découle bloque l'acquisition de nouveaux clients grands comptes : le cycle de vente s'arrête à la revue sécurité.

L'assurance cyber a bougé dans la même direction. Les assureurs alignent désormais leurs polices sur ce critère : un système couvert doit tourner sur une plateforme activement corrigée, sous peine de nullité de la garantie ou de rejet du sinistre au moment d'une faille. Le débat sort du budget IT pour rejoindre le risk management.

Le HCL de VCF 9 exclut du parc CPU encore amorti

Le blocage n'est pas que logiciel. La liste de compatibilité matérielle (HCL) de VMware Cloud Foundation 9 refuse un ensemble notable de processeurs en production. Migrer suppose, pour beaucoup, de renouveler le hardware avant même de basculer les charges. Deux lignes de budget explosent en même temps.

L'angle utile est celui de l'autonomie. Un chronomètre marin H4 de John Harrison embarquait 30 heures de réserve de marche : le capitaine gérait un blocage sans perdre sa position. Transposée au socle de virtualisation, la question devient concrète. Combien de mois votre infrastructure tourne-t-elle sans dépendre vitalement de Broadcom (licences, support, correctifs confondus) ? En dessous de six mois, vous décidez déjà sous contrainte.

Un conseil qui a fait ses preuves en interne : ouvrir une ligne budgétaire distincte pour le renouvellement matériel imposé par le HCL, et la présenter au comex comme coût de dépendance, pas comme coût de modernisation. La sémantique change la décision.

ANSSI, NIS2, RGPD : l'angle européen que la presse anglophone n'a pas traité

Aucune couverture anglophone ne mentionne le contexte réglementaire européen. Angle mort qui va peser vite. La directive NIS2, transposée en France depuis 2024, impose aux entités essentielles et importantes une gestion des vulnérabilités avec correctifs appliqués en temps utile. Un hyperviseur sans support fournisseur ne satisfait plus cette exigence dès octobre 2027.

Le référentiel ANSSI sur la sécurité des hyperviseurs recommande également d'éviter tout composant en fin de vie sur des systèmes traitant des données sensibles. Pour un OIV ou un OSE, le maintien en production d'un vSphere 8 hors support constitue une prise de risque documentée qu'il faudra défendre devant le régulateur.

Côté RGPD, la CNIL a déjà sanctionné (délibérations 2023-2024) l'exploitation de logiciels non maintenus pour manquement à l'article 32. Le raisonnement s'applique tel quel à un hyperviseur : une fuite de données survenue sur un socle non patché engage la responsabilité du responsable de traitement, avec des amendes pouvant atteindre 4 % du chiffre d'affaires mondial.

Nutanix, Proxmox, Red Hat, cloud public : l'offre alternative se structure

Lee Caswell, SVP Product and Solutions Marketing chez Nutanix, résume la posture du marché sans ambiguïté : « No responsible IT person would put a new workload on VMware », soit aucun responsable IT sérieux ne placerait une nouvelle charge de travail sur VMware (CIO.com). Déclaration intéressée, venant d'un concurrent direct. Elle n'est pas isolée pour autant.

Nutanix AHV et Red Hat OpenShift Virtualization occupent aujourd'hui le créneau de la reprise iso-fonctionnelle, avec support entreprise structuré et plan de migration outillé. Proxmox VE monte fort dès qu'on regarde le TCO au premier plan, aux côtés de XCP-ng, sur des périmètres où l'intégration native avec vRealize n'est pas critique. Les hyperscalers (AWS, Azure, GCP), eux, captent les migrations qui acceptent une réécriture partielle des automatismes, souvent au prix d'un lock-in inversé.

Face au commercial Broadcom : chiffrer avant d'entrer en salle

Un négociateur formé à la Behavioral Change Stairway Model du FBI n'entre jamais en discussion sous la pression du deadline adverse. La première tactique consiste à forcer l'autre camp à révéler son propre coût de non-accord : jusqu'où peut-il descendre, jusqu'à quel taux d'attrition son management tolère-t-il de perdre des logos ? Pour un DSI, le principe se traduit par un calcul préalable. Combien votre compte pèse-t-il en ARR pour Broadcom ? Quel signal enverrait votre départ à d'autres grands comptes en train d'arbitrer ?

Rimini Street rappelle un point que Broadcom ne met pas en avant : la date de fin de support général n'est pas une obligation légale de migrer vers VCF (source). Cette date marque le moment où l'éditeur cesse son propre support, pas plus. Rien n'empêche techniquement de continuer à exploiter et sécuriser un environnement virtualisé existant par d'autres moyens : support tiers spécialisé, veille CVE interne, isolation réseau accrue. Option pas gratuite, mais elle existe et pèse dans la négociation.

Coût de sortie réévalué chaque trimestre et seuils de déclenchement chiffrés

Aucune source publique ne chiffre à ce jour le coût moyen d'une migration VCF 9, ni le TCO comparé d'une bascule vers Nutanix ou Proxmox. Ce vide profite à Broadcom. La discipline qui marche en interne : chiffrer trimestriellement le coût réel d'une sortie VMware (réécriture d'automatismes, retraining des équipes, migration des VMs, licences tierces) et le tenir dans un tableau vivant, séparé du grand livre officiel du budget. Une équipe finance interne suffit à faire tourner le calcul.

Deuxième outil, emprunté à l'Observatoire volcanologique du Piton de la Fournaise. L'OVPF-IPGP ne déclenche pas ses procédures d'urgence à l'éruption : il définit à l'avance des paliers de vigilance qui basculent l'organisation en mode gradué dès qu'un seuil sismique ou géodésique est franchi. Transposition côté DSI : figer aujourd'hui les seuils chiffrés qui déclenchent l'exécution du plan de sortie (hausse de facture supérieure à 30 %, délai de patch supérieur à 90 jours, indisponibilité de support supérieure à 48 heures). Le jour où l'un des seuils est franchi, la décision est déjà prise.

Ce qu'il faut surveiller entre maintenant et octobre 2027

Broadcom n'a émis aucune réaction officielle aux critiques des cabinets d'audit et des concurrents cités par CIO.com. Un revirement tarifaire ou une extension conditionnelle du support n'est pas exclu, notamment sur les comptes stratégiques, à surveiller trimestre après trimestre. Deuxième front, la position de la Commission européenne sur la concentration du marché de la virtualisation, plusieurs plaintes ayant été déposées depuis 2024. Enfin, la pression parallèle exercée par Oracle et SAP pour migrer vers OCI et SAP Cloud ERP (Rimini Street) cumule les échéances sur la même fenêtre 2026-2027. Arbitrer trois transitions majeures la même année cesse d'être un sujet technique : ça devient un problème de bande passante décisionnelle au niveau comex.