Ciberdelincuentes están explotando activamente la vulnerabilidad crítica CVE-2026-59310 en VMware vCenter para ejecutar código arbitrario. Se han identificado 361 víctimas en 47 países, utilizando la herramienta reverse_ssh para evadir controles de seguridad y mantener persistencia. Expertos sugieren que se trata de un actor de amenazas avanzadas (APT) y recomiendan aplicar urgentemente los parches de Broadcom.









Los actores de amenazas han comenzado a explotar activamente un fallo de seguridad crítico recientemente parcheado en Broadcom VMware vCenter, según nuevos hallazgos de QUIRSO.

La vulnerabilidad en cuestión es la CVE-2026-59310 (puntuación CVSS: 9.8), una vulnerabilidad de salto de directorio en el servidor VMware vCenter que un actor malintencionado con acceso a la red puede explotar para ejecutar código arbitrario. Broadcom lanzó los parches para este fallo a finales del mes pasado.

La empresa de ciberseguridad alemana afirmó que descubrió la actividad tras un compromiso de respuesta a incidentes. Se dice que la cadena de ataque mostró una actividad de salto de ruta coherente con el fallo, seguida del despliegue de un cron job malicioso para establecer persistencia en el host utilizando reverse_ssh, una herramienta de código abierto utilizada para configurar conexiones SSH hacia infraestructuras controladas por el atacante.

Se descubrió que los sistemas comprometidos identificados por QUIRSO establecieron contacto primero con los dominios del atacante el 3 de agosto, cinco días después de que Broadcom revelara públicamente los fallos. En total, hay hasta 361 direcciones IP de víctimas únicas ubicadas en 47 países. La mayoría de ellas se encuentran en Alemania, Estados Unidos, Turquía, Irán y Francia.

"Si bien el atacante podría haber tenido conocimiento previo de la vulnerabilidad, la fuerte correlación entre el momento de la divulgación y la explotación sugiere que la divulgación fue el punto de partida inicial de la campaña", añadió QUIRSO.