Hackers exploram falha crítica no VMware vCenter para manter acesso remoto persistente

Hackers começaram a explorar ativamente uma vulnerabilidade crítica recentemente corrigida no VMware vCenter, da Broadcom, para comprometer servidores e estabelecer acesso remoto persistente, da empresa alemã de cibersegurança QUIRSO.

A falha, identificada como CVE-2026-59310 e classificada com pontuação CVSS 9,8, é uma vulnerabilidade de directory traversal no VMware vCenter Server. Um invasor com acesso de rede ao sistema pode explorá-la para executar código arbitrário. A Broadcom disponibilizou correções para o problema no fim de julho.

A atividade maliciosa foi identificada pela QUIRSO durante um trabalho de resposta a incidentes. A análise encontrou uma sequência de ataque com tentativas de manipulação de caminhos compatíveis com a CVE-2026-59310, seguidas pela criação de uma tarefa cron maliciosa para garantir persistência no servidor comprometido.

Os invasores utilizaram o reverse_ssh, ferramenta de código aberto capaz de estabelecer conexões SSH reversas com infraestrutura controlada externamente. Dessa forma, o servidor comprometido inicia uma conexão de saída para o atacante, o que pode permitir contornar controles de segurança destinados principalmente a bloquear conexões suspeitas de entrada.

Segundo a QUIRSO, os primeiros sistemas comprometidos começaram a se comunicar com domínios controlados pelos atacantes em 3 de agosto, cinco dias depois da divulgação pública da vulnerabilidade pela Broadcom.

A investigação identificou até 361 endereços IP únicos associados a vítimas em 47 países. A maior concentração está na Alemanha, Estados Unidos, Turquia, Irã e França.

Embora exista a possibilidade de os responsáveis já conhecerem a vulnerabilidade anteriormente, a proximidade entre sua divulgação e o início das invasões sugere, segundo a QUIRSO, que a publicação da falha tenha sido o ponto de partida da campanha.

A identidade dos responsáveis ainda não foi determinada. Os pesquisadores, porém, acreditam que a operação possa estar relacionada a um possível grupo de ameaça persistente avançada (APT). Até o momento, não há evidências suficientes para atribuir a campanha a um grupo específico.

Appliances da VMware já foram utilizados como alvo em operações anteriores de espionagem. Grupos ligados à China, como o UNC5174, exploraram vulnerabilidades em produtos como VMware Tools e VMware vCenter. Em abril de 2025, a SentinelOne também descreveu o cluster de ameaças PurpleHaze, associado à China, que utilizou o backdoor GoReShell contra uma organização de apoio a um governo do sul da Ásia.

O GoReShell incorporava funcionalidades do próprio reverse_ssh para estabelecer conexões SSH reversas com servidores controlados pelos invasores. Apesar desse histórico, a QUIRSO ressalta que a presença da ferramenta, isoladamente, não comprova atividade maliciosa.

Quando o reverse_ssh aparece instalado sem autorização, executando em um appliance vCenter vulnerável ou estabelecendo conexões externas inesperadas, porém, a empresa considera o comportamento um indicador de alta prioridade que deve ser investigado.

Paralelamente, a Defused Cyber identificou um aumento nas varreduras direcionadas ao VMware vCenter que pode estar relacionado a tentativas de exploração de outra vulnerabilidade crítica, a CVE-2026-59309, também classificada com CVSS 9,8.

Os honeypots da empresa registraram aumento de atividades de reconhecimento, incluindo consultas de versão por meio de POST /sdk/ e verificações do fluxo SAML SSO em /websso. A movimentação coincide com a divulgação do boletim VMSA-2026-0006, da Broadcom, relacionado à CVE-2026-59309, uma falha de bypass de autenticação no vmdir.

Apesar da proximidade entre as atividades, Denis Szadkowski, COO e cofundador da QUIRSO, afirmou que ainda não existem evidências suficientes para relacionar as varreduras envolvendo a CVE-2026-59309 à mesma campanha ou infraestrutura associada à exploração da CVE-2026-59310.

No caso investigado pela QUIRSO, entretanto, as evidências forenses indicam um comprometimento bem-sucedido, e não apenas tentativas de exploração. A análise aponta com maior confiança para a CVE-2026-59310 como o vetor inicial utilizado pelos invasores.