Pe 12 august 2026, compania germană de securitate QUIRSO a raportat dovezi dintr-o investigație de incident privind compromiterea reușită a unor sisteme VMware vCenter, dovezi care indică puternic CVE-2026-59310 drept vector inițial. Vulnerabilitatea critică de tip directory traversal a fost publicată de Broadcom în VMSA-2026-0006 pe 29 iulie și permite unui atacator cu acces la rețea să execute cod arbitrar pe vCenter.
Lanțul raportat nu s-a oprit la exploatare. Investigatorii au observat activitate de path traversal compatibilă cu vulnerabilitatea, urmată de un cron job malițios care folosea instrumentul open-source reverse_ssh pentru persistență printr-o conexiune SSH outbound către infrastructura atacatorului.
Aceasta este o actualizare materială a alertei inițiale, nu o a doua versiune a aceleiași știri. Întrebarea operațională s-a schimbat din „suntem vulnerabili?” în „appliance-ul ar fi putut fi compromis înainte de patch și ce dovezi confirmă sau infirmă acest lucru?”
Ce este confirmat, raportat și încă disputat
Broadcom confirmă vulnerabilitatea, severitatea critică și versiunile remediate disponibile. În Q&A-ul public actual, furnizorul afirmă încă că nu are informații care să indice exploatarea în teren. Declarația nu trebuie rescrisă implicit ca și cum Broadcom ar fi confirmat noua campanie.
QUIRSO, sursa primară a cercetării, spune că dovezile forensice reprezintă o compromitere reușită, nu doar scanare, și indică puternic CVE-2026-59310 drept acces inițial. The Hacker News a raportat independent concluziile și a obținut explicații suplimentare de la QUIRSO. Amploarea exactă nu a fost auditată independent sau confirmată de Broadcom.
Formularea corectă este deci „exploatare activă raportată”, nu exploatare confirmată de furnizor. Dovezile sunt suficient de solide pentru a declanșa investigația defensivă deoarece provin din incident response și includ artefacte post-compromitere, dar incertitudinile trebuie păstrate vizibile.
361 de adrese IP nu înseamnă 361 de organizații
QUIRSO raportează până la 361 de adrese IP unice asociate victimelor din 47 de țări, cu cele mai multe în Germania, Statele Unite, Turcia, Iran și Franța. Distribuția indică expunere transfrontalieră și relevanță europeană clară.
Numărul nu trebuie transformat într-un total de organizații sau persoane. O organizație poate avea mai multe adrese, o adresă poate fi partajată sau realocată, iar metodologia dataset-ului publicat nu a fost validată independent. Cifra definește aria investigației, nu un recensământ al victimelor confirmate.
Nu confunda CVE-2026-59310 cu cealaltă vulnerabilitate vCenter
VMSA-2026-0006 include și CVE-2026-59309, un authentication bypass în VMware Directory Service. O raportare separată din honeypot-uri a descris creșterea fingerprinting-ului și scanării compatibile cu interesul pentru CVE-2026-59309, inclusiv probe asupra SDK-ului vCenter și fluxurilor SAML.
QUIRSO a declarat pentru The Hacker News că nu există suficiente dovezi pentru conectarea acelei scanări cu setul de intruziuni sau infrastructura asociată CVE-2026-59310. Proprietarii activelor trebuie să remedieze ambele probleme critice vCenter, dar notele de detecție și concluziile de incident trebuie să păstreze distincția dintre CVE-uri.
Răspunsul imediat înseamnă patch plus investigație
Sistemele raportate au contactat prima dată infrastructura atacatorului pe 3 august, la cinci zile după disclosure. Cronologia ghidează verificarea inițială, dar fiecare organizație trebuie să folosească propriul istoric de expunere: o instanță accesibilă de pe internet sau din rețeaua unui partener poate necesita o fereastră mai largă dacă logurile, versiunile sau data patch-ului sunt incomplete.
- Confirmă fiecare instanță vCenter, versiune, build, cale de rețea și responsabil, inclusiv sistemele standalone și cele din VMware Cloud Foundation sau vSphere Foundation
- Instalează o versiune remediată din VMSA-2026-0006; Broadcom clasifică update-ul ca emergency change și precizează că nu există workaround
- Verifică pe appliance configurația cron, procesele neașteptate, fișierele create recent și conexiunile DNS, TLS și SSH outbound pentru schimbări neautorizate în fereastra de expunere
- Tratează reverse_ssh ca indiciu prioritar doar când este neautorizat sau apare împreună cu execuție pe un appliance vulnerabil și infrastructură outbound suspectă; numele instrumentului nu dovedește singur compromiterea
- Dacă compromiterea este plauzibilă, izolează prin proceduri aprobate, conservă dovezile volatile și persistente, reconstruiește dintr-o stare de încredere când este necesar și rotește credentialele sau tokenurile accesibile din planul de management
De ce verificarea patch-ului nu mai este suficientă
Un build remediat răspunde dacă vulnerabilitatea mai poate fi exploatată acum. Nu spune dacă un cod a rulat anterior, dacă un cron job a supraviețuit update-ului sau dacă au fost accesate credentiale din planul de control al virtualizării. Dovada remedierii și dovada investigației sunt înregistrări diferite și sunt necesare ambele.
Actorul suspectat nu este identificat. QUIRSO menționează posibila implicare a unui APT, dar atribuirea rămâne o ipoteză. Raportarea publică nu stabilește setul inițial de victime, obiectivul atacatorului, furt de date sau lateral movement în workload-uri. Persistența pe vCenter nu trebuie transformată în afirmația că fiecare mașină virtuală administrată a fost compromisă.
Guvernanță NIS2 pentru un plan de management compromis
vCenter este un punct de control concentrat: identitatea, operațiunile de lifecycle, inventarul și accesul la grupuri mari de workload-uri converg aici. În managementul riscului de tip NIS2, are nevoie de responsabil explicit, cale de emergency change, rețea de management întărită, acces outbound controlat, loguri păstrate și procedură testată de recuperare curată.
Înregistrarea managerială trebuie să documenteze expunerea, mediile afectate, patch-ul, aria hunting-ului, constatările, deciziile despre credentiale și dacă impactul operațional atinge pragul notificării. O estimare publică a IP-urilor sau un scor CVSS nu decid raportabilitatea; contează impactul real asupra serviciilor și dovezile compromiterii.
Awarely Monitor poate menține remedierea alertei inițiale și investigația noii exploatări ca activități legate, dar separate: CVE-ul este atribuit și remediat, iar ipoteza de incident rămâne deschisă până la finalizarea hunting-ului și revizuirea dovezilor.
Ce urmărim în continuare
Până apar aceste semnale, acționează asupra riscului fără să exagerezi certitudinea: remediază fiecare vCenter afectat, investighează fereastra de expunere și descrie campania ca raportată, nu confirmată de furnizor.
- O actualizare Broadcom care confirmă sau infirmă exploatarea în teren
- Indicatori validați ori ghidaj de detecție de la Broadcom, autorități naționale sau alte echipe de incident response
- Confirmarea independentă a distribuției geografice raportate
- Dovezi care separă intruziunile țintite de exploatarea oportunistă la scară largă
Surse și verificare
Deschide sursele originale pentru context, actualizări și formularea exactă a afirmațiilor.