Exploitation active de CVE-2026-59310 : 361 victimes dans 47 pays via VMware vCenter

🔍 Contexte

Publié le 10 août 2026 par l’équipe de recherche sur les menaces de QUIRSO GmbH, cet article documente une campagne d’exploitation active découverte lors d’un engagement de réponse à incident. La source est le blog Medium officiel de QUIRSO.

🎯 Vulnérabilité exploitée

CVE-2026-59310 est une vulnérabilité critique de type directory traversal affectant le serveur Syslog de VMware vCenter. Elle permet à un attaquant disposant d’un accès réseau à vCenter d’exécuter du code arbitraire. Son score CVSS est de 9.8 (critique). Broadcom confirme qu’aucun contournement n’est disponible ; le correctif est la seule remédiation.

Versions corrigées :

• VMware vCenter 9.1 : 9.1.0.0300
• VMware vCenter 9.0 : 9.0.2.0100
• VMware vCenter 8.0 : 8.0 U3k ou 8.0 U2f

Advisory Broadcom : VMSA-2026-0006.1

🌍 Distribution des victimes

361 adresses IP victimes identifiées dans 47 pays. Les cinq pays les plus touchés (185 IP, soit ~51% du total) sont :

1. Allemagne
2. États-Unis
3. Turquie
4. Iran
5. France

⏱️ Chronologie de l’exploitation

• 29 juillet 2026 : Publication initiale de VMSA-2026-0006 par Broadcom
• 3 août 2026 : Premières connexions de systèmes victimes à l’infrastructure de l’attaquant (5 jours après divulgation)
• 4 août 2026 : Pic de la campagne — 151 nouvelles IP victimes observées
• 5 août 2026 : 343 des 361 IP victimes (~95%) déjà identifiées

La corrélation temporelle forte entre la divulgation et l’exploitation suggère que la publication publique a constitué le point de départ de la campagne.

🛠️ Mécanisme de persistance

L’attaquant a déployé reverse_ssh, un framework open-source de reverse shell basé sur SSH. Ses capacités incluent :

• Connexion automatique en retour (connect-back)
• Transfert de fichiers
• Transports multiples
• Gestion de shells distants
• Forwarding de ports SSH

Ce mécanisme établit un canal de contrôle sortant depuis les systèmes compromis, permettant de contourner les contrôles de sécurité bloquant les connexions entrantes non sollicitées.

🔗 Attribution

Un acteur APT suspecté à nexus chinois est mentionné dans la mise à jour de l’article, avec des chevauchements comportementaux et infrastructurels observés. Une vulnérabilité connexe CVE-2026-59309 est également évoquée. Aucun nom canonique d’acteur n’est explicitement attribué dans cet article initial.

📄 Nature de l’article

Il s’agit d’une publication de recherche issue d’un engagement de réponse à incident, visant à alerter les opérateurs vCenter sur une campagne active et à fournir des indicateurs de détection (règle YARA disponible sur GitHub de QUIRSO). Une publication de suivi plus détaillée est annoncée.

🧠 TTPs et IOCs détectés

TTP

• T1190 — Exploit Public-Facing Application (Initial Access)
• T1059 — Command and Scripting Interpreter (Execution)
• T1572 — Protocol Tunneling (Command and Control)
• T1133 — External Remote Services (Persistence)
• T1071.002 — Application Layer Protocol: File Transfer Protocols (Command and Control)

IOC

• Emails : research@quirso.de
• CVEs : CVE-2026-59310 — NVD · CIRCL
• CVEs : CVE-2026-59309 — NVD · CIRCL

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 18 août 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

• reverse_ssh (tool)

🟢 Indice de vérification factuelle : 75/100 (haute)

• ✅ medium.com — source reconnue (Rösti community) (20pts)
• ✅ 6579 chars — texte complet (fulltext extrait) (15pts)
• ✅ 3 IOCs (IPs/domaines/CVEs) (10pts)
• ⬜ pas d’IOC vérifié (0pts)
• ✅ 5 TTPs MITRE identifiées (15pts)
• ✅ date extraite du HTML source (10pts)
• ⬜ aucun acteur de menace nommé (0pts)
• ✅ 2/2 CVE(s) confirmée(s) (CIRCL) (5pts)

🔗 Source originale : https://medium.com/@quirso_de/active-exploitation-of-cve-2026-59310-361-victim-ips-across-47-countries-9783187cc6ff