CISA conferma: CVE-2026-59310 in vCenter ora sfruttata da ransomware

CISA ha confermato nel weekend precedente al 15 settembre 2026 che CVE-2026-59310, vulnerabilità critica in VMware vCenter Server patchata da Broadcom il 29 luglio, è ora attivamente sfruttata da gang ransomware. La transizione dall'exploitation iniziale — attribuita a un attore di stato e caratterizzata da reverse SSH su centinaia di sistemi — alla compromissione operata da criminali tradizionali è avvenuta in circa sei settimane. L'evoluzione solleva interrogativi sulla velocità con cui le falle di management centrali migrano da arsenali ristretti a commodity accessibile.

La falla nel logging che apre il management

La vulnerabilità risiede nel Syslog server di vCenter, componente di logging spesso esposto alla rete con limitate restrizioni. Secondo il record NVD, un attore con accesso di rete al sistema può sfruttare la directory traversal per eseguire codice arbitrario senza autenticazione. Il vector CVSS 3.1 — AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H — segnala attacco remoto, complessità bassa, nessun privilegio richiesto, nessuna interazione utente: la combinazione tipica di falle che scalano rapidamente in gravità operativa.

Broadcom ha rilasciato la correzione il 29 luglio 2026, con un advisory che descriveva la falla come critica. La stessa fonte riferisce che l'azienda aveva pubblicato una FAQ supplementare invitando i clienti a trattare la patch come emergenza. Sei settimane dopo, la raccomandazione si è dimostrata fondata: l'exploitation non si è limitata all'APT iniziale.

Da APT a ransomware: la democratizzazione del vettore

L'exploitation iniziale è stata rilevata da QUIRSO, che ha documentato oltre 361 indirizzi IP compromessi in 47 paesi. Il modus operandi includeva reverse SSH per persistenza — una tecnica che indica preparazione per accesso continuativo piuttosto che attacco occasionale. Questo primo stadio, attribuito a un attore avanzato, ha probabilmente generato proof-of-concept o tooling che è poi filtrato o è stato replicato.

Nel weekend precedente al 15 settembre 2026, CISA ha aggiornato il Known Exploited Vulnerabilities Catalog per flaggare CVE-2026-59310 come attivamente abusata da gang ransomware. La pagina KEV conferma esplicitamente: "Known To Be Used in Ransomware Campaigns? Known". Il catalogo segnala inoltre "Forensic triage required per BOD-26-04: Yes", elevando l'impatto da mero patching a obbligo di indagine forense per le agenzie governative federali.

Il pattern non è isolato. Secondo BleepingComputer, CISA ha taggato 26 vulnerabilità VMware come exploited nei precedenti cinque anni; di queste, 9 risultano abusate anche in campagne ransomware. VMware vCenter funge da management plane per l'intero virtual estate: la sua compromissione consente movimento laterale e deployment di encryptor su tutte le VM gestite, amplificando l'impatto rispetto alla compromissione di singoli endpoint.

"Known To Be Used in Ransomware Campaigns? Known" — CISA KEV Catalog, pagina CVE-2026-59310

L'esposizione residua e il perimetro da monitorare

Shadowserver traccia oltre 450 server VMware vCenter esposti su internet. La fonte non specifica quanti di questi sistemi risultino privi della patch di luglio, ma la cifra indica un attack surface sostanziale. vCenter è infrastruttura interna per definizione; la sua esposizione online, anche parziale, espande la superficie di attacco oltre i confini perimetrali previsti.

La natura non autenticata della falla elimina il bisogno di credenziali rubate o di phishing preliminare. L'attaccante non deve compromettere workstation o account utente: la sola raggiungibilità di rete del Syslog server è sufficiente. Questa caratteristica spiega in parte la velocità di adozione da parte di operatori ransomware, tipicamente orientati verso vettori a basso attrito e riusabilità.

Cosa fare adesso

Per le organizzazioni con vCenter Server in produzione, le azioni prioritarie derivano direttamente dal dossier:

• Verificare applicabilità della patch rilasciata da Broadcom il 29 luglio 2026 e completarne il deployment, con priorità sui sistemi esposti a rete non segmentata
• Per le agenzie governative statunitensi: eseguire il triage forense richiesto da BOD 26-04 entro i termini dell'ordine CISA, che impone un intervento entro 3 giorni
• Rivedere la segmentazione di rete del Syslog server di vCenter, limitando la raggiungibilità ai soli host autorizzati per ridurre la superficie di attacco non autenticato
• Consultare il catalogo KEV CISA per CVE-2026-59310 e verificare eventuali aggiornamenti sul flag ransomware o requisiti aggiuntivi

La lezione della velocità di commodity

L'intervallo di sei settimane tra patch, exploitation APT e adozione ransomware è compatto anche per gli standard attuali. Suggerisce che la pubblicazione di dettagli tecnici sufficienti — o il reverse engineering della patch — abbia compresso il tradizionale gap tra weaponizzazione ristretta e commodity. Per i vendor, il caso riaccende il dilemma disclosure: la trasparenza acceleratrice di remediation può altrettanto accelerare la replica del tooling offensivo.

Il dato di CISA — 9 vulnerabilità VMware su 26 exploitation note collegate a ransomware — indica che il vendor è divenuto target privilegiato. Non per la frequenza delle falle in sé, ma per il ruolo architettonico dei suoi prodotti: compromettere vCenter non è un endpoint, è il pannello di controllo dell'infrastruttura. I criminali lo sanno. L'evoluzione di CVE-2026-59310 lo conferma con tempistiche che non concedono margine alla lentezza operativa.

Domande frequenti

Qual è la differenza tra l'exploitation APT e quella ransomware?

L'APT iniziale ha usato CVE-2026-59310 per reverse SSH e persistenza su sistemi in 47 paesi. Le gang ransomware successive sfruttano la stessa falla per accesso iniziale, ma orientano l'operazione verso cifratura e estorsione. CISA non ha documentato collegamenti tra i due attori.

Perché il Syslog server è particolarmente a rischio?

È un componente di logging frequentemente esposto a rete per ricevere flussi da multiple fonti. La sua funzione operativa lo colloca spesso al di fuori dei rigidi controlli di segmentazione riservati ad altri servizi di management.

Cosa cambia con il flag BOD 26-04?

Impone alle agenzie federali non solo il patching entro 3 giorni, ma anche un triage forense per verificare compromissioni pregresse. Aumenta i costi di compliance e la visibilità governativa sull'incidente.

Fonti

• https://www.bleepingcomputer.com/news/security/cisa-critical-vmware-vcenter-rce-flaw-now-exploited-by-ransomware-gangs/
• https://nvd.nist.gov/vuln/detail/cve-2026-59310
• https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-59310
• https://www.bleepingcomputer.com/
• https://www.bleepingcomputer.com/tutorials/

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti