Una campagna di attacchi informatici sta sfruttando una vulnerabilità critica di VMware vCenter Server identificata come CVE 2026 59310 con punteggio CVSS 9.8. Il problema è una directory traversal che può essere trasformata in esecuzione di codice arbitrario e permette agli aggressori di ottenere rapidamente controllo completo del sistema.
La patch è stata rilasciata a fine luglio 2026, ma le attività ostili sono iniziate pochi giorni dopo la divulgazione pubblica, segnale tipico di exploitation rapida su infrastrutture esposte.
Le compromissioni osservate hanno coinvolto centinaia di indirizzi IP in decine di paesi, con una distribuzione significativa in Europa e Nord America. Gli indicatori operativi e alcuni artefatti tecnici suggeriscono un attore avanzato con collegamenti a un contesto di lingua cinese, includendo script con stringhe in cinese, strumenti di gestione e pattern di attività compatibili con il fuso orario UTC più otto. Un elemento ricorrente è la selezione delle vittime che esclude la Cina continentale, dettaglio spesso valutato nelle analisi di attribuzione.
Oltre a CVE 2026 59310, su almeno un sistema risulta anche attività riconducibile a CVE 2026 59309, un bypass di autenticazione su vCenter. In questa fase gli attaccanti hanno creato account amministrativi e svolto operazioni di discovery tramite API, usando user agent che imitano componenti VMware per confondersi nel traffico legittimo.
La catena di attacco legata a CVE 2026 59310 mostra un uso intenso di cron per eseguire comandi come root. Vengono depositati file in percorsi privilegiati, poi usati per scaricare e lanciare una backdoor. Tra i payload spicca un impianto che abilita remote command execution e comunica con il controllo remoto tramite WebSocket, con indirizzi offuscati e meccanismi di persistenza via systemd e cron. Seguono script che installano un reverse ssh e preparano directory di staging, modificano permessi e avviano eseguibili. Sono stati inoltre osservati web shell in JSP, modifiche a sudoers per ottenere privilegi senza password e tecniche per estrarre credenziali del servizio directory di VMware e aumentare i privilegi nel dominio SSO.
La fase finale può includere ransomware su host ESXi con estensione babyk, associata a varianti derivate da Babuk. In alcuni scenari la cifratura potrebbe servire anche a ridurre la visibilità forense e rendere inaccessibili i log, rallentando risposta e analisi dell'incidente.