Khai thác VMware vCenter, triển khai backdoor và ransomware
"Researchers reported active exploitation of two VMware vCenter vulnerabilities, CVE-2026-59310 (CVSS 9.8 directory traversal leading to arbitrary code execution) and CVE-2026-59309 (authentication bypass). The campaign, attributed with moderate confidence to a suspected China-nexus actor, used cron-based payload delivery to install a WebSocket-controlled backdoor and reverse SSH tooling, and Broadcom released a fix for CVE-2026-59310 on July 29, 2026."
Rủi ro xâm nhập từ xa rất cao do CVE-2026-59310 có thể dẫn tới thực thi mã tùy ý; chiến dịch còn cho thấy backdoor và reverse SSH để duy trì quyền truy cập.
Có thể gây gián đoạn hạ tầng ảo hóa, lộ quyền quản trị vCenter và mở đường cho mã độc tống tiền; cần ưu tiên vá và kiểm tra toàn bộ cụm quản trị.
Các nhà nghiên cứu ghi nhận chiến dịch khai thác đang diễn ra nhắm vào VMware vCenter với hai lỗ hổng CVE-2026-59310 và CVE-2026-59309. Trong đó, CVE-2026-59310 là lỗi directory traversal mức CVSS 9.8 có thể dẫn tới thực thi mã tùy ý, còn CVE-2026-59309 là lỗi bypass xác thực. Broadcom đã phát hành bản vá cho CVE-2026-59310 vào 29/07/2026.
Theo đánh giá của QUIRSO, chiến dịch có mức tin cậy trung bình liên quan tới một tác nhân nghi ngờ có nguồn gốc Trung Quốc. Hoạt động bắt đầu khoảng 5 ngày sau khi lỗ hổng được công bố, và được cho là đã ảnh hưởng tới 361 địa chỉ IP tại 47 quốc gia. Các dấu hiệu xâm nhập gồm tạo tài khoản quản trị trái phép trên vCenter, sử dụng cron để thả payload, cài backdoor linuxFile điều khiển qua WebSocket, và triển khai công cụ reverse SSH để duy trì truy cập.
Tổ chức vận hành VMware vCenter nên ưu tiên vá ngay, rà soát các mục /etc/cron.d, tài khoản quản trị mới, kết nối ra ngoài bất thường và lưu lượng tới các IP hạ tầng đáng ngờ. Đồng thời, cần kiểm tra dấu vết thực thi từ curl/wget, tiến trình systemd/cron persistence, và cô lập máy chủ nếu phát hiện chỉ báo xâm nhập.