Attackers Exploit VMware vCenter Vulnerability to Gain Persistent Remote Access

Exploitation active de vulnérabilités critiques dans VMware vCenter

Des acteurs malveillants exploitent activement une vulnérabilité critique dans VMware vCenter pour obtenir un accès à distance persistant. La campagne a déjà touché 361 adresses IP uniques réparties dans 47 pays, dont la France, peu après la divulgation des correctifs par Broadcom.

Points clés :

• Mode opératoire : Les attaquants utilisent la faille pour exécuter du code arbitraire, puis déploient une tâche planifiée (cron job) utilisant l’outil reverse_ssh.
• Persistance : L’utilisation de reverse_ssh permet d’établir des connexions sortantes vers les serveurs des attaquants, contournant ainsi les pare-feux qui bloquent les connexions entrantes.
• Menace accrue : Outre l’exploitation confirmée, une hausse significative des scans et tentatives de reconnaissance a été observée sur d’autres vulnérabilités critiques de la plateforme.

Vulnérabilités identifiées :

• CVE-2026-59310 (Score CVSS 9.8) : Vulnérabilité de type directory traversal permettant l’exécution de code à distance (vecteur d’accès initial confirmé).
• CVE-2026-59309 (Score CVSS 9.8) : Faille de contournement d’authentification dans vmdir faisant actuellement l’objet de tentatives de reconnaissance intensives.

Recommandations :

• Appliquer les correctifs : Mettre immédiatement à jour les serveurs vCenter vers les versions corrigées fournies par Broadcom (VMSA-2026-0006).
• Surveillance réseau : Rechercher des connexions sortantes suspectes vers des domaines inconnus, particulièrement si elles impliquent l’exécution de reverse_ssh.
• Analyse forensique : Inspecter les tâches planifiées (cron jobs) et les processus inhabituels sur les appliances vCenter, en particulier ceux associés à des accès non autorisés récents.

Source