Una vulnerabilità critica in VMware vCenter viene sfruttata attivamente da attori APT a soli cinque giorni dalla pubblicazione della patch, mettendo a rischio infrastrutture globali.
Il panorama della sicurezza informatica è stato scosso da una rapida campagna di sfruttamento ai danni di VMware vCenter, il software di gestione centralizzata per ambienti virtualizzati. La vulnerabilità, catalogata come CVE-2026-59310, è un difetto di directory traversal situato nel server Syslog di vCenter. Con un punteggio CVSS di 9.8, questa falla permette a un utente non autenticato, dotato di accesso alla rete, di eseguire codice arbitrario sul sistema operativo sottostante, trasformando un servizio di log in una porta d'accesso privilegiata per gli aggressori.
La gravità della situazione è stata confermata dai ricercatori della società di sicurezza tedesca Quirso, che hanno rilevato l'inizio delle attività malevole a soli cinque giorni dalla divulgazione ufficiale da parte di Broadcom. Sebbene l'azienda avesse inizialmente dichiarato di non aver osservato tentativi di sfruttamento, la realtà sul campo ha smentito rapidamente tale ottimismo: il 3 agosto, pochi giorni dopo l'advisory del 29 luglio, sono stati registrati i primi segnali di compromissione.
L'indagine condotta da Quirso ha evidenziato una campagna su larga scala, attribuita a un probabile gruppo APT (Advanced Persistent Threat). I dati parlano chiaro: sono stati identificati 361 indirizzi IP di vittime distribuiti in 47 paesi diversi. Sebbene il numero di IP non equivalga necessariamente a un numero identico di organizzazioni colpite, la distribuzione geografica è significativa, con una concentrazione particolarmente elevata in Germania, Stati Uniti, Turchia, Iran e Francia, che da soli rappresentano oltre la metà delle vittime identificate.
Per mantenere il controllo sui sistemi violati, gli aggressori hanno fatto ricorso a reverse_ssh, un framework open-source progettato per il penetration testing. L'utilizzo di una reverse shell permette agli attaccanti di superare le difese perimetrali, poiché la connessione viene stabilita dall'interno verso l'esterno, aggirando così i firewall che solitamente bloccano le connessioni in entrata non sollecitate.
Gli esperti di sicurezza sottolineano che la semplice applicazione della patch non è sufficiente per considerarsi al sicuro. Come evidenziato da Jason Soroko di Sectigo, le organizzazioni si trovano di fronte a due sfide temporali distinte: la prima è l'aggiornamento immediato dei sistemi per chiudere la falla, la seconda è l'attività di incident response necessaria per individuare ed espellere eventuali intrusi che abbiano già ottenuto l'accesso prima dell'installazione della patch.
Broadcom ha rilasciato aggiornamenti correttivi nelle versioni 9.1.0.0300, 9.0.2.0100 e 8.0 U3k/U2f (a seconda del ramo di distribuzione). Questi update risolvono non solo la vulnerabilità di directory traversal, ma anche una falla di authentication bypass nel servizio VMware Directory Service, anch'essa inclusa nell'advisory.
Le aziende che utilizzano vCenter sono caldamente invitate a:
La rapidità con cui gli aggressori hanno trasformato la divulgazione della vulnerabilità in un'arma operativa dimostra ancora una volta quanto sia breve la finestra di opportunità tra la scoperta di una vulnerability e il suo sfruttamento massivo da parte di attori malevoli.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
