CISA: Critical VMware RCE flaw now exploited by ransomware gangs

Escalade des attaques par ransomware sur les serveurs VMware vCenter

La CISA a alerté sur l’exploitation active par des groupes de ransomware d’une vulnérabilité critique dans VMware vCenter, initialement découverte et corrigée en juillet. Cette faille, désormais incluse dans le catalogue KEV (Known Exploited Vulnerabilities) de l’agence, permet à des attaquants non authentifiés d’exécuter du code arbitraire.

Points clés :

• Menace croissante : Initialement exploitée par des acteurs persistants avancés (APT) pour installer des outils d’accès distant (reverse SSH), la vulnérabilité est désormais utilisée par des groupes de ransomware.
• Risque critique : Les serveurs vCenter et ESXi sont des cibles privilégiées car ils offrent un accès direct au réseau de l’entreprise et aux données sensibles.
• Exposition : Plus de 450 serveurs vCenter restent exposés publiquement sur Internet, avec un taux de mise à jour incertain.
• Historique : VMware est une cible récurrente, avec 26 vulnérabilités exploitées recensées par la CISA au cours des cinq dernières années, dont neuf liées à des opérations de ransomware.

Vulnérabilité identifiée :

• CVE-2026-59310 : Vulnérabilité de traversée de répertoire (directory traversal) critique dans le serveur Syslog de vCenter, permettant l’exécution de code à distance (RCE).

Recommandations :

• Application immédiate des correctifs : La CISA classe cette faille comme une urgence. Les administrateurs doivent installer les correctifs de sécurité fournis par Broadcom/VMware sans délai.
• Réduction de la surface d’attaque : Limiter l’exposition des serveurs vCenter sur Internet et s’assurer que les accès d’administration sont restreints et sécurisés.
• Surveillance accrue : Rechercher des signes de compromission, notamment des connexions SSH inhabituelles ou des accès persistants suspects sur les serveurs vCenter.

Source