La vulnerabilidad crítica CVE-2026-59310 en Broadcom VMware vCenter ya se explota activamente contra sistemas expuestos a internet. Los ataques combinan ejecución remota de código con persistencia mediante cron y una herramienta llamada reverse_ssh. La única mitigación efectiva pasa por aplicar ya las actualizaciones de VMSA-2026-0006.1.
La vulnerabilidad CVE-2026-59310 ha colocado a VMware vCenter Server en el centro de una campaña de intrusiones que busca controlar de forma persistente infraestructuras virtualizadas. El fallo afecta al componente Syslog server y permite ejecución remota de código con acceso de red. En la práctica, el riesgo se dispara cuando la consola queda accesible desde internet, un patrón que los atacantes han aprovechado con rapidez desde principios de agosto de 2026.
El defecto encaja en la categoría de salto de directorios. En términos sencillos, un atacante puede manipular rutas para acceder a ubicaciones que no debería tocar y, a partir de ahí, encadenar acciones que terminan en la ejecución de comandos en el appliance. La gravedad no es teórica: la vulnerabilidad tiene una puntuación CVSS 9,8, un nivel que suele reservarse para fallos que abren la puerta a compromisos completos sin apenas fricción.
Los compromisos observados apuntan a una ventana muy corta entre divulgación y explotación. La actividad se detectó a partir del 3 de agosto de 2026, con un foco claro en instancias de vCenter visibles en internet. En el recuento más reciente, se han identificado 361 direcciones IP de víctimas únicas repartidas por 47 países, con una concentración destacada en Alemania, Estados Unidos, Turquía, Irán y Francia.
Una vez dentro, el atacante no se limita a ejecutar un comando y marcharse. Implanta persistencia mediante una tarea cron maliciosa y despliega reverse_ssh, una pieza pensada para mantener un canal de control estable. La clave de este enfoque está en que reverse_ssh establece conexiones salientes hacia la infraestructura del atacante, algo que puede sortear defensas que se centran en bloquear accesos entrantes y dejan más margen al tráfico que sale hacia internet.
La respuesta recomendada no deja espacio para atajos. Broadcom ha publicado correcciones en el aviso VMSA-2026-0006.1 y no existe una solución alternativa para CVE-2026-59310, así que la prioridad pasa por actualizar vCenter sin demora. A partir de ahí, conviene confirmar que el servicio no se expone a internet, endurecer el acceso con segmentación de red y listas de control, y revisar el appliance en busca de crontabs no autorizados, binarios o ejecuciones de reverse_ssh, además de conexiones salientes anómalas hacia dominios o IP que no formen parte del tráfico habitual.
El mismo paquete de actualizaciones también incluye arreglos para CVE-2026-59309. En paralelo se ha observado un aumento de escaneo y huellas contra esa superficie, aunque por ahora no se ha confirmado la relación directa con la explotación de CVE-2026-59310. Aun así, el contexto es claro: cuando vCenter queda expuesto y sin parchear, el tiempo de reacción se mide en días, no en semanas.
Más información
- The Hacker News – Attackers Exploit VMware vCenter Vulnerability to Gain Persistent Remote Access : https://thehackernews.com/2026/08/attackers-exploit-vmware-vcenter.html
- QUIRSO GmbH (Medium) – Active exploitation of CVE-2026-59310: 361 victim IPs across 47 countries : https://medium.com/%40quirso_de/active-exploitation-of-cve-2026-59310-361-victim-ips-across-47-countries-9783187cc6ff
- Broadcom Support Portal – VMSA-2026-0006.1: VMware ESX, vCenter, Workstation, and Fusion updates address multiple vulnerabilities : https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/38017
- vmware/vcf-security-and-compliance-guidelines (GitHub) – VMSA-2026-0006: Questions & Answers (README.md) : https://github.com/vmware/vcf-security-and-compliance-guidelines/blob/main/security-advisories/vmsa-2026-0006/README.md
Deja una respuesta