Critical VMware vCenter RCE flaw exploited for reverse SSH access
Mis à jour :
Exploitation active de la faille critique dans VMware vCenter
Une vulnérabilité critique dans le serveur Syslog de VMware vCenter fait actuellement l’objet d’une campagne d’exploitation active. Les attaquants utilisent cette faille pour installer des outils de « reverse SSH », permettant ainsi une persistance et un accès distant sur les infrastructures ciblées. Plus de 360 adresses IP dans 47 pays ont déjà été compromises.
Points clés :
- Vecteur d’attaque : La faille permet à un attaquant non authentifié disposant d’un accès réseau d’exécuter du code arbitraire.
- Objectif : Établir des canaux de commande et de contrôle (C2) sortants pour contourner les pare-feu et maintenir un accès durable aux environnements virtualisés.
- Ampleur : Une activité malveillante significative a été détectée seulement cinq jours après la publication du correctif par Broadcom.
Vulnérabilité :
- CVE-2026-59310 : Faille critique de type « directory traversal » dans le serveur Syslog de VMware vCenter.
Recommandations :
- Application immédiate des correctifs : Il est impératif de mettre à jour les instances vCenter vers les versions corrigées (vCenter 9.1.0.0300, 9.0.2.0100, ou les versions 8.0 U3k / 8.0 U2f selon la branche).
- Absence de contournement : Aucun mécanisme de mitigation alternatif n’existe ; seule l’installation de la mise à jour officielle protège le système.
- Surveillance : Les administrateurs peuvent utiliser les règles YARA fournies par QUIRSO pour détecter la présence du binaire reverse_ssh sur leurs serveurs.