Khai thác lỗ hổng VMware vCenter để duy trì truy cập từ xa
"Threat actors are actively exploiting CVE-2026-59310, a critical directory-traversal flaw in VMware vCenter that can lead to arbitrary code execution on network-accessible systems. Investigators observed post-exploitation activity including malicious cron job deployment and reverse_ssh-based persistence, with Broadcom's patch already available; separate scanning activity was also reported for CVE-2026-59309, an authentication-bypass issue in vmdir."
Rủi ro cao do thực thi mã từ xa, khả năng duy trì truy cập lâu dài và dấu hiệu xâm nhập đã thành công trên hệ thống quản trị.
Có thể ảnh hưởng đến hạ tầng ảo hóa lõi, làm gián đoạn vận hành và tăng chi phí ứng cứu sự cố nếu vCenter bị chiếm quyền.
Các nhà nghiên cứu ghi nhận chiến dịch khai thác chủ động nhắm vào CVE-2026-59310 trên VMware vCenter, một lỗi directory traversal có thể dẫn đến thực thi mã tùy ý trên hệ thống có thể truy cập qua mạng. Broadcom đã phát hành bản vá từ cuối tháng trước, nhưng hoạt động khai thác vẫn tiếp diễn sau khi công bố.
Theo QUIRSO, chuỗi tấn công cho thấy dấu hiệu sau xâm nhập gồm triển khai cron job độc hại để duy trì hiện diện và sử dụng reverse_ssh nhằm thiết lập kết nối ra ngoài tới hạ tầng do kẻ tấn công kiểm soát. Đơn vị này ghi nhận các hệ thống bị xâm nhập bắt đầu liên lạc với miền của đối tượng tấn công từ ngày 3/8, với tổng cộng tới 361 địa chỉ IP tại 47 quốc gia.
Song song, Defused Cyber báo cáo gia tăng hoạt động quét và fingerprinting liên quan đến CVE-2026-59309, một lỗi authentication bypass trong vmdir. Hiện chưa có đủ bằng chứng để kết luận hai hoạt động này cùng thuộc một nhóm tấn công.
Khuyến nghị: ưu tiên cập nhật bản vá, rà soát cron job bất thường, kiểm tra kết nối outbound lạ từ vCenter, và điều tra các dấu hiệu truy cập trái phép trên hệ thống quản trị ảo hóa.