Penyerang Mengeksploitasi Kerentanan VMware vCenter untuk Memperoleh Akses Jarak Jauh yang Persisten
Aktor ancaman telah mulai secara aktif mengeksploitasi kerentanan keamanan kritis yang baru saja ditambal di Broadcom VMware vCenter, menurut temuan baru dari QUIRSO.
Kerentanan yang dimaksud adalah CVE-2026-59310 (skor CVSS: 9.8), sebuah kerentanan *directory-traversal* di server VMware vCenter yang dapat dieksploitasi oleh aktor jahat dengan akses jaringan untuk mengeksekusi kode arbitrer. Tambalan untuk kerentanan tersebut dirilis oleh Broadcom akhir bulan lalu.
Perusahaan keamanan siber Jerman tersebut mengatakan bahwa mereka menemukan aktivitas tersebut setelah keterlibatan respons insiden. Rantai serangan tersebut dikatakan menunjukkan aktivitas *path traversal* yang konsisten dengan kerentanan, diikuti dengan penyebaran *cron job* berbahaya untuk membangun persistensi pada *host* menggunakan *reverse_ssh*, sebuah alat *open-source* yang digunakan untuk mengatur koneksi SSH ke infrastruktur yang dikendalikan aktor ancaman.
Sistem yang disusupi yang diidentifikasi oleh QUIRSO ditemukan pertama kali menjalin kontak dengan domain penyerang pada tanggal 3 Agustus, lima hari setelah Broadcom secara publik mengungkapkan kerentanan tersebut. Secara keseluruhan, terdapat sebanyak 361 alamat IP korban unik yang tersebar di 47 negara. Sebagian besar berada di Jerman, AS, Turki, Iran, dan Prancis.
“Meskipun penyerang mungkin memiliki pengetahuan sebelumnya tentang kerentanan tersebut, korelasi yang kuat antara waktu pengungkapan dan eksploitasi menunjukkan pengungkapan tersebut sebagai titik awal awal untuk kampanye,” tambah QUIRSO.
Tidak jelas siapa di balik kampanye eksploitasi ini, tetapi diyakini sebagai pekerjaan aktor *advanced persistent threat* (APT) yang dicurigai.
Perlu dicatat bahwa perangkat VMware telah menjadi target yang menguntungkan bagi aktor ancaman Tiongkok seperti UNC5174, yang telah mempersenjatai kerentanan keamanan yang memengaruhi VMware Tools dan VMware vCenter dalam berbagai kampanye spionase.
Pada April 2025, SentinelOne mengungkapkan detail klaster ancaman yang terkait dengan Tiongkok yang dijuluki PurpleHaze yang menargetkan entitas pendukung pemerintah Asia Selatan dengan *backdoor* Windows bernama GoReShell, yang menggunakan fungsionalitas dari alat *reverse_ssh* untuk membangun koneksi SSH terbalik ke *host* yang dikendalikan penyerang.
Penggunaan *reverse_ssh* patut diperhatikan karena memungkinkan penyerang untuk membangun koneksi keluar ke *endpoint* di bawah kendali mereka, secara efektif melewati kontrol keamanan yang dirancang untuk mencegah permintaan masuk yang mencurigakan.
“Kehadiran *reverse_ssh* tidak boleh, dengan sendirinya, diperlakukan sebagai bukti aktivitas jahat,” QUIRSO mencatat. “Namun, dalam kombinasi dengan instalasi yang tidak sah, koneksi keluar yang tidak terduga, atau eksekusi pada perangkat vCenter yang rentan, itu adalah indikator prioritas tinggi yang memerlukan penyelidikan.”
Pengungkapan ini muncul ketika Defused Cyber mengatakan bahwa mereka mengamati lonjakan pemindaian terhadap VMware vCenter yang mengindikasikan potensi upaya eksploitasi yang menargetkan CVE-2026-59309 (skor CVSS: 9.8).
“Honeypot kami mencatat peningkatan *fingerprinting* – seperti *version probes* melalui POST /sdk/ (RetrieveServiceContent) dan *walks* dari alur SSO SAML /websso – bertepatan dengan VMSA-2026-0006 Broadcom (CVE-2026-59309, *unauth auth-bypass* di vmdir, CVSS 9.8),” kata perusahaan keamanan siber tersebut.
Denis Szadkowski, COO dan salah satu pendiri QUIRSO GmbH, mengatakan kepada The Hacker News bahwa tidak ada cukup bukti pada tahap ini untuk mengkorelasikan upaya eksploitasi dan pemindaian menggunakan CVE-2026-59309 dengan set intrusi atau infrastruktur penyerang yang terkait dengan CVE-2026-59310.
“Apa yang dapat kami katakan dengan keyakinan yang jauh lebih tinggi adalah bahwa aktivitas yang kami selidiki mewakili kompromi yang berhasil daripada hanya upaya eksploitasi, dan bukti forensik sangat menunjuk pada CVE-2026-59310 sebagai vektor akses awal,” tambah Szadkowski.
