Para penyerang dilaporkan telah mulai aktif mengeksploitasi celah keamanan kritis yang baru saja ditambal pada Broadcom VMware vCenter. Temuan ini diungkapkan oleh QUIRSO.
Kerentanan yang dimaksud adalah CVE-2026-59310 (skor CVSS: 9.8), sebuah kerentanan directory-traversal di server VMware vCenter. Kerentanan ini memungkinkan pelaku jahat dengan akses jaringan untuk menjalankan kode arbitrer. Broadcom telah merilis patch untuk celah ini pada akhir bulan lalu.
Perusahaan keamanan siber asal Jerman tersebut menyatakan bahwa mereka menemukan aktivitas eksploitasi ini setelah melakukan penanganan insiden. Rantai serangan menunjukkan aktivitas path traversal yang konsisten dengan kerentanan tersebut, diikuti dengan penyebaran cron job berbahaya untuk membangun persistensi pada host menggunakan reverse_ssh, sebuah alat open-source yang digunakan untuk membuat koneksi SSH ke infrastruktur yang dikendalikan oleh pelaku ancaman.
Sistem yang teridentifikasi terkompromi oleh QUIRSO diketahui pertama kali melakukan kontak dengan domain penyerang pada tanggal 3 Agustus, lima hari setelah Broadcom secara publik mengungkapkan celah tersebut. Secara keseluruhan, terdapat sebanyak 361 alamat IP korban unik yang tersebar di 47 negara. Sebagian besar korban berada di Jerman, AS, Turki, Iran, dan Prancis.
“Meskipun penyerang mungkin memiliki pengetahuan sebelumnya tentang kerentanan ini, korelasi kuat antara waktu pengungkapan dan eksploitasi menunjukkan bahwa pengungkapan tersebut menjadi titik awal kampanye,” tambah QUIRSO.
Identitas di balik kampanye eksploitasi ini belum jelas, namun diduga kuat merupakan hasil kerja dari pelaku advanced persistent threat (APT). Penting untuk dicatat bahwa perangkat VMware telah menjadi target menguntungkan bagi pelaku ancaman Tiongkok seperti UNC5174, yang telah mempersenjatai celah keamanan pada VMware Tools dan VMware vCenter dalam berbagai kampanye spionase.
Pada April 2025, SentinelOne mengungkapkan detail mengenai kelompok ancaman yang terkait dengan Tiongkok bernama PurpleHaze. Kelompok ini menargetkan entitas pendukung pemerintah Asia Selatan dengan backdoor Windows yang disebut GoReShell, yang menggunakan fungsionalitas dari alat reverse_ssh untuk membuat koneksi SSH terbalik ke host yang dikendalikan penyerang.
Penggunaan reverse_ssh sangat penting karena memungkinkan penyerang membuat koneksi keluar ke endpoint yang mereka kendalikan, secara efektif melewati kontrol keamanan yang dirancang untuk mencegah permintaan masuk yang mencurigakan.
“Kehadiran reverse_ssh saja tidak boleh diperlakukan sebagai bukti aktivitas jahat,” catat QUIRSO. “Namun, jika digabungkan dengan instalasi tidak sah, koneksi keluar yang tidak terduga, atau eksekusi pada appliance vCenter yang rentan, ini adalah indikator prioritas tinggi yang memerlukan penyelidikan.”
Pengungkapan ini muncul saat Defused Cyber menyatakan bahwa mereka mengamati peningkatan pemindaian terhadap VMware vCenter, yang mengindikasikan upaya eksploitasi potensial yang menargetkan CVE-2026-59309 (skor CVSS: 9.8).
“Honeypot kami mencatat peningkatan fingerprinting – seperti pemeriksaan versi melalui POST /sdk/ (RetrieveServiceContent) dan penjelajahan aliran SSO SAML /websso – yang bersamaan dengan VMSA-2026-0006 dari Broadcom (CVE-2026-59309, otentikasi tanpa otorisasi di vmdir, CVSS 9.8),” kata perusahaan keamanan siber tersebut.
Denis Szadkowski, COO dan salah satu pendiri QUIRSO GmbH, mengatakan kepada The Hacker News bahwa saat ini belum ada cukup bukti untuk mengkorelasikan upaya eksploitasi dan pemindaian menggunakan CVE-2026-59309 dengan set intrusi atau infrastruktur penyerang yang terkait dengan CVE-2026-59310.
“Yang dapat kami katakan dengan keyakinan yang jauh lebih tinggi adalah bahwa aktivitas yang kami selidiki merupakan kompromi yang berhasil, bukan hanya upaya eksploitasi, dan bukti forensik sangat menunjuk pada CVE-2026-59310 sebagai vektor akses awal,” tambah Szadkowski.
