Qué pasó
La explotación activa de CVE-2026-59310 en VMware vCenter ya tiene rostro. La firma alemana de respuesta a incidentes QUIRSO atribuye —con confianza moderada— la campaña a un APT China-nexus, y el detalle más interesante no es el exploit: es que el ransomware que despliegan al final parece ser una distracción.
El bug es un directory traversal con CVSS 9.8 en vCenter que permite ejecución de código remota. Broadcom lo parcheó el 29 de julio de 2026 junto a CVE-2026-59309 (authentication bypass en vmdir, también 9.8) en el VMSA-2026-0006. La explotación arrancó cinco días naturales después de la divulgación pública. A la fecha: 361 IPs víctima únicas en 47 países, concentradas en Alemania (55), EE. UU. (41), Turquía (38), Irán (26) y Francia (25).
Por qué importa
vCenter no es un servidor más: es el plano de control de todo tu virtualization estate. Quien lo controla controla los hosts ESXi, y por extensión cada VM del datacenter. Si además el atacante llega sin autenticación desde la red, el tiempo entre parche disponible y parche aplicado se convierte en tu única defensa real. Cinco días fue todo lo que necesitaron.
El detalle técnico
La cadena observada por QUIRSO:
- Persistencia vía cron abusando de syslog. El primer artefacto es un archivo cron malformado llamado
zz-poc59310-syslog.logcolocado en/etc/cron.d. El nombre imita la convención de remote syslog del vCSA: el atacante abusó del syslog server para escribir en una ruta de ejecución privilegiada. Desde ahí, uncurl/wgetdescarga el backdoor y borra el rastro. - Implante
linuxFile. Ejecución remota de comandos vía/bin/shsobre un canal WebSocket. La dirección de C2 va XOR-obfuscada y se decodifica en runtime; el tráfico usa cifrado propio a nivel de aplicación sobre transportews://en claro. Reconecta solo y persiste vía systemd y cron. reverse_sshy staging. Un scriptesxi.shdescargado desde infraestructura del actor instala binariosreverse_sshespecíficos por arquitectura.- CVE-2026-59309 en paralelo. En al menos un vCSA se vio creación de una cuenta admin (
vcenter_admin) sin eventos de login del admin legítimo, más discovery por REST API con User-Agent falsificado tipoGoodMoodle-VCFleet/1.0para pasar por actividad de VMware. - Ransomware como smokescreen. Crean cuentas locales en los hosts ESXi (p. ej.
adminuser) y despliegan un locker derivado de Babuk que cifra con extensión.babyk. La hipótesis de QUIRSO: cifrar los logs de ESXi para destruir telemetría y frustrar el análisis forense, no para cobrar rescate.
Ese último punto es el que hay que interiorizar: si ves ransomware en ESXi, no asumas que ese era el objetivo. Puede ser el borrador de evidencia de una intrusión que sigue viva.
Qué hacer
- Parchea ya si no lo hiciste: VCF/vSphere Foundation 9.1.x → 9.1.0.0300; 9.0.x → 9.0.2.0100; vCenter 8.0 → 8.0 U3k; VCF 5.x → async patch a 8.0 U3k. No hay workarounds.
- Asume compromiso en cualquier vCenter expuesto y sin parchear desde el 3 de agosto. Revisa
/etc/cron.dy cron de root buscando entradas con nombres tipo*poc*o sufijo-syslog.log, y unidades systemd nuevas. - Audita cuentas: administradores en vCenter SSO y cuentas locales en ESXi creadas recientemente sin ticket asociado.
- Caza egress raro: conexiones WebSocket salientes desde el vCSA y SSH inverso. Un vCenter no debería iniciar sesiones hacia Internet, punto.
- Saca vCenter de Internet. El plano de gestión va en una red segmentada con acceso por jump host o ZTNA, no publicado.
- Protege tus logs: forwarding de syslog de ESXi/vCenter a un SIEM fuera de banda. Si el atacante puede cifrar tu única copia de telemetría, ya perdiste la investigación.
Fuentes
- Suspected China-Nexus Actor Exploits VMware vCenter Flaw, Deploys Babuk-Derived Ransomware — The Hacker News (17 ago 2026)
- Attackers Exploit VMware vCenter Vulnerability to Gain Persistent Remote Access — The Hacker News (12 ago 2026)
- Three Critical VMware Flaws Allow Auth Bypass and Code Execution — The Hacker News (VMSA-2026-0006)
- Global Exploitation of CVE-2026-59310 by Suspected Chinese-Nexus APT — QUIRSO