CVE-2026-59310 : APT chinois exploite vCenter pour déployer Babuk sur 47 pays

Les faits

Le 29 juillet 2026, Broadcom a publié l'avis de sécurité VMSA-2026-0023 corrigeant deux vulnérabilités dans VMware vCenter Server : CVE-2026-59310 et CVE-2026-59309. Cinq jours seulement après la publication de ces correctifs, des attaquants ont commencé à exploiter CVE-2026-59310 de manière agressive et à grande échelle. Cette vitesse d'exploitation, inférieure à une semaine entre le patch et l'exploitation active, constitue un record préoccupant pour une infrastructure aussi critique.

CVE-2026-59310 est une vulnérabilité de traversée de répertoire (directory traversal) affectant le serveur vCenter. Elle permet à un attaquant non authentifié d'exécuter du code arbitraire avec des privilèges root directement sur l'appliance VMware vCenter Server (VCSA). Le score CVSS v3.1 est de 9.8, dans la catégorie Critique. L'exploitation ne nécessite aucune interaction utilisateur, aucune authentification préalable et présente une complexité d'attaque faible. En d'autres termes, tout attaquant disposant d'un accès réseau au port HTTPS de vCenter peut compromettre la totalité de l'infrastructure de virtualisation.

La chaîne d'attaque documentée par les équipes de Broadcom et confirmée par la société allemande d'incident response QUIRSO est particulièrement sophistiquée. Les attaquants exploitent d'abord CVE-2026-59310 pour obtenir l'exécution de code root sur vCenter, puis déposent un binaire SSH inverse (reverse SSH) pour établir un canal de commandement et contrôle persistant. Dans une deuxième phase, ils créent des comptes SSO (Single Sign-On) VCenter légitimes pour maintenir leur accès même après un redémarrage. Ils effectuent ensuite des opérations de reconnaissance sur l'infrastructure ESXi sous-jacente avant de déployer le ransomware.

Le ransomware utilisé dans cette campagne est un dérivé de Babuk, le code source de ce ransomware-as-a-service ayant fuité en 2021 et donnant depuis naissance à de nombreuses variantes ciblant spécifiquement les hyperviseurs ESXi. Cette variante chiffre les datastores VMware VMFS, rendant toutes les machines virtuelles hébergées inaccessibles simultanément. L'impact pour les organisations victimes est immédiat et massif : l'ensemble des serveurs virtualisés tombe hors ligne en quelques minutes.

L'attribution à un acteur à nexus chinois repose sur plusieurs éléments convergents. QUIRSO, qui a analysé les IOC et les TTPs de la campagne, a évalué avec un niveau de confiance modéré que les attaquants opèrent depuis le fuseau horaire UTC+8, dominant dans les régions sinophiles. Les heures d'activité des serveurs de commandement et contrôle, les métadonnées des outils utilisés et certaines caractéristiques du code du reverse SSH binaire déposé pointent vers un acteur expérimenté, potentiellement affilié ou mandaté par un État.

Selon les données compilées par la plateforme Rankiteo et l'analyse de QUIRSO publiée sur Medium le 17 août 2026, 361 adresses IP uniques dans 47 pays ont été confirmées comme victimes. La répartition géographique révèle une ciblage mondial sans discrimination sectorielle apparente : Allemagne (55 victimes), États-Unis (41), Turquie (38), Iran (26) et France (25). Cette dernière figure donc dans le top 5 des pays les plus touchés, ce qui doit alerter les équipes de sécurité françaises gérant des infrastructures VMware.

La vulnérabilité CVE-2026-59309, mentionnée dans le même avis VMSA-2026-0023, constitue une vulnérabilité complémentaire. Selon les chercheurs de CrowdStrike, les deux CVE peuvent être chaînées pour former une exploitation encore plus robuste. CVE-2026-59309 serait une élévation de privilèges post-exploitation permettant de consolider la persistance après l'intrusion initiale via CVE-2026-59310.

La campagne mondiale a mis en lumière un angle mort structurel de nombreuses organisations : leurs interfaces d'administration vCenter sont exposées directement sur Internet ou sur des segments réseau insuffisamment segmentés. Broadcom rappelle depuis des années que les interfaces d'administration de vCenter ne doivent jamais être accessibles depuis Internet et doivent être protégées par des contrôles d'accès stricts, idéalement via un réseau d'administration dédié (OOB). Mais dans la réalité du terrain, cette recommandation est très fréquemment ignorée, surtout dans les PME et les collectivités.

Impact et exposition

Toute organisation disposant d'une infrastructure VMware vCenter non patchée et accessible depuis Internet ou depuis un segment réseau non maîtrisé est directement exposée. L'exploitation est non-authentifiée, ce qui signifie qu'aucun identifiant compromis n'est nécessaire. Les datastores ESXi contenant des sauvegardes ou des machines virtuelles de production constituent la cible finale du ransomware Babuk. Les secteurs les plus exposés sont l'industrie, les collectivités territoriales, le secteur hospitalier et les PME industrielles qui utilisent VMware pour leur infrastructure critique. En France, 25 organisations ont déjà été compromises selon les données publiques — le chiffre réel est probablement supérieur.

Recommandations

• Appliquer immédiatement le patch Broadcom VMSA-2026-0023 sur tous les serveurs vCenter de l'organisation.
• Vérifier que l'interface d'administration vCenter (port 443 et port 9443) n'est pas exposée directement sur Internet — bloquer au niveau du pare-feu périmétrique si nécessaire.
• Auditer les comptes SSO vCenter créés récemment et supprimer tout compte non reconnu.
• Examiner les tâches cron sur l'appliance VCSA (/var/spool/cron et /etc/cron.d) pour détecter des mécanismes de persistance.
• Vérifier l'intégrité des datastores ESXi et s'assurer que les sauvegardes sont stockées sur un système hors-ligne ou air-gapped non accessible depuis vCenter.
• Activer la journalisation des connexions SSO et les envoyer vers un SIEM pour détection des créations de comptes anormales.