Negli ultimi giorni è stata rilevata una campagna di attacco che sfrutta attivamente una vulnerabilità critica di VMware vCenter Server, già corretta con patch. Il problema di sicurezza è identificato come CVE 2026 59310 con punteggio CVSS 9.8 e riguarda un difetto di directory traversal.
In pratica un attaccante con accesso di rete può abusare della gestione dei percorsi per arrivare a eseguire codice arbitrario sul server vCenter, ottenendo così controllo remoto sul sistema.
Le analisi tecniche indicano una catena di compromissione orientata alla persistenza. Dopo i segnali compatibili con path traversal, gli aggressori installano un cron job malevolo per mantenere un accesso stabile nel tempo. La persistenza viene ottenuta tramite reverse ssh, uno strumento open source che consente di creare connessioni SSH al contrario, cioè dal sistema vittima verso una infrastruttura controllata dagli attaccanti. Questo approccio è particolarmente efficace perché stabilisce una connessione in uscita, riducendo la probabilità di essere bloccato da controlli pensati soprattutto per fermare richieste in ingresso sospette.
I sistemi compromessi osservati hanno iniziato a contattare i domini degli attaccanti pochi giorni dopo la divulgazione pubblica della falla, un dettaglio che rafforza il legame tra disclosure e sfruttamento operativo. Le vittime identificate includono centinaia di indirizzi IP distribuiti in decine di paesi, con una concentrazione maggiore in alcune aree geografiche. Anche se non è stata attribuita con certezza la campagna a un gruppo specifico, il comportamento è stato associato a un possibile attore APT, cioè una minaccia persistente avanzata.
È importante notare che la sola presenza di reverse ssh non è una prova definitiva di compromissione, perché può essere usato anche in contesti legittimi. Tuttavia, se compare su un appliance vCenter senza autorizzazione, insieme a connessioni in uscita inattese o esecuzione di processi anomali, diventa un indicatore ad alta priorità da investigare subito.
Parallelamente è stato segnalato un aumento delle attività di scanning e fingerprinting contro VMware vCenter, con tentativi di identificare versioni e flussi di autenticazione, un segnale tipico di preparazione allo sfruttamento su larga scala.
miei tag
- VMware vCenter
- CVE 2026 59310
- reverse ssh
- cron job
- esecuzione codice remoto