Threat actors começaram a explorar ativamente uma falha crítica de segurança da Broadcom VMware vCenter que foi corrigida recentemente, segundo novos dados da QUIRSO.
A vulnerabilidade em questão é a CVE-2026-59310, com pontuação CVSS de 9,8. Trata-se de uma falha de traversão de diretório no servidor VMware vCenter, que pode ser explorada por um agente malicioso com acesso à rede para executar código arbitrário. Os patches para a falha foram liberados pela Broadcom no fim do mês passado.
A empresa alemã de cibersegurança afirmou ter identificado a atividade durante um atendimento de resposta a incidentes. A cadeia de ataque teria apresentado comportamento de traversão de caminhos compatível com a falha, seguido pela implantação de um cron job malicioso para manter persistência no host usando reverse_ssh, uma ferramenta open source usada para estabelecer conexões SSH com uma infraestrutura controlada por threat actor.
Os sistemas comprometidos identificados pela QUIRSO teriam feito contato inicial com domínios do atacante em 3 de agosto, cinco dias após a divulgação pública das falhas pela Broadcom. Ao todo, foram identificados até 361 endereços IP únicos de vítimas em 47 países. A maior parte está na Alemanha, nos Estados Unidos, na Turquia, no Irã e na França.
"Embora o atacante possa já ter conhecimento prévio da vulnerabilidade, a forte correlação entre o momento da divulgação e da exploração sugere que a divulgação foi o ponto de partida inicial da campanha", acrescentou a QUIRSO.
Ainda não está claro quem está por trás da campanha de exploração, mas acredita-se que se trate de um APT suspeito.
Vale destacar que aparelhos VMware têm sido um alvo lucrativo para threat actors chineses, como a UNC5174, que têm transformado falhas de segurança que afetam o VMware Tools e o VMware vCenter em armas em diversas campanhas de espionagem.
Em abril de 2025, a SentinelOne divulgou detalhes de um cluster de ameaça chamado PurpleHaze, que mirou uma entidade de apoio ao governo do sul da Ásia com um backdoor para Windows chamado GoReShell, que usa funcionalidades da ferramenta reverse_ssh para estabelecer conexões SSH reversas com hosts controlados pelo atacante.
O uso do reverse_ssh chama atenção porque permite ao atacante estabelecer uma conexão de saída com um endpoint sob seu controle, contornando na prática controles de segurança projetados para bloquear solicitações de entrada suspeitas.
"A presença do reverse_ssh não deve, por si só, ser tratada como prova de atividade maliciosa", observou a QUIRSO. "Mas, em combinação com instalação não autorizada, conexões de saída inesperadas ou execução em um appliance vCenter vulnerável, trata-se de um indicador de alta prioridade que exige investigação."
A divulgação ocorre no momento em que a Defused Cyber afirma estar observando um aumento de varreduras contra o VMware vCenter, o que pode indicar tentativas de exploração da CVE-2026-59309, também com pontuação CVSS de 9,8.
"Nossos honeypots estão registrando aumento de fingerprinting, como consultas de versão via POST /sdk/ (RetrieveServiceContent) e navegação pelo fluxo SAML SSO em /websso, em paralelo à VMSA-2026-0006 da Broadcom (CVE-2026-59309, bypass de autenticação sem autenticação no vmdir, CVSS 9,8)", informou a empresa de cibersegurança.
Denis Szadkowski, COO e cofundador da QUIRSO GmbH, disse que ainda não há evidências suficientes para correlacionar as tentativas de exploração e varredura da CVE-2026-59309 com o conjunto de intrusão ou a infraestrutura do atacante associada à CVE-2026-59310.
"O que podemos afirmar com muito mais confiança é que a atividade que investigamos representa um comprometimento bem-sucedido, e não apenas tentativas de exploração. As evidências forenses apontam fortemente para a CVE-2026-59310 como vetor inicial de acesso", acrescentou Szadkowski.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...