VMware vCenter CVE-2026-59310 e CVE-2026-59309: dalla patch allo sfruttamento in cinque giorni

Cinque giorni separano la pubblicazione dell'advisory dai primi sistemi compromessi. Broadcom ha rilasciato il VMSA-2026-0006 il 29 luglio 2026 dichiarando di non avere osservato sfruttamento; il 3 agosto i primi vCenter compromessi contattavano già infrastruttura degli attaccanti. Le due vulnerabilità sono la CVE-2026-59310, un directory traversal nel server Syslog che consente a un attaccante remoto con accesso di rete al vCenter di eseguire codice arbitrario, e la CVE-2026-59309, un authentication bypass nel VMware Directory Service che permette di aggirare l'autenticazione e ottenere accesso non autorizzato al sistema. Entrambe hanno punteggio CVSS v3.1 pari a 9.8 e non richiedono credenziali. Per la CVE-2026-59310 risulta disponibile anche una prova di concetto pubblica.

Broadcom è esplicita su un punto che cambia le priorità operative: non esistono soluzioni alternative per nessuna delle due falle, quindi l'aggiornamento non è rinviabile con misure compensative. L'alert ACN, aperto il 30 luglio come AL10/260730 e aggiornato il 18 agosto, estende il perimetro oltre vCenter: sono coinvolti anche ESX, Workstation, Fusion, Cloud Foundation, vSphere Foundation e le piattaforme Telco Cloud, ciascuno con una propria matrice di versioni e, per Cloud Foundation, con async patch da verificare nella KB88287.

Il vCenter è il bersaglio a più alta resa dell'intero data center: chi lo controlla governa gli host, le macchine virtuali, gli snapshot e i backup che ci girano sopra. È il motivo per cui questo bollettino ha documentato più volte campagne ransomware che convergono sull'ipervisore, da Akira a Qilin con il payload Rust su ESXi, e per cui una compromissione qui pesa più di dieci compromissioni di endpoint. A doversene preoccupare è chiunque abbia un vCenter raggiungibile da una rete non strettamente controllata, inclusa la rete interna: la maggior parte delle intrusioni ransomware su ESXi parte da un accesso già ottenuto altrove, non da internet.

• Versioni affette: VMware vCenter 8.x precedenti alla 8.0 U3k, 9.0.x.x precedenti alla 9.0.2.0100, 9.1.x.x precedenti alla 9.1.0.0300; VMware ESX 8.x precedenti alla ESXi80U3k-25595708, 9.0.x.x precedenti alla 9.0.2.0100-25595025, 9.1.x.x precedenti alla 9.1.0.0200-25557999; Workstation e Fusion 25H2 precedenti alla 26H1; Cloud Foundation 5.x prive della async patch vCenter 8.0 U3k o precedenti alla 5.2.3, 9.0.x.x precedenti alla 9.0.2.0100, 9.1.x.x precedenti alla 9.1.0.0300; vSphere Foundation 9.0.x.x e 9.1.x.x alle stesse release; Telco Cloud Platform 3.0, 4.x, 5.0.x, 5.1.x e Telco Cloud Infrastructure 3.0.
• Azione raccomandata: applicare gli aggiornamenti del VMSA-2026-0006, unica misura disponibile dato che il vendor non indica workaround; isolare l'interfaccia di gestione del vCenter su una rete di amministrazione separata e non raggiungibile dalle postazioni utente; verificare i log per accessi anomali e connessioni in uscita verso destinazioni non note a partire dal 29 luglio; controllare l'integrità di account e ruoli definiti sul vCenter.

Fonti: ACN, Broadcom, Rapid7, Infosecurity Magazine