CVE-2026-59310 : vCenter exploité par APT China-nexus, 361 victimes dans 47 pays

Les faits

Le 29 juillet 2026, Broadcom publiait un avis de sécurité pour CVE-2026-59310, une faille de directory traversal dans le service Syslog de VMware vCenter Server. Score CVSS : 9.8 sur 10. Cinq jours plus tard, le 3 août 2026, des chercheurs de la société QUIRSO GmbH documentaient une campagne d'exploitation active à grande échelle, attribuée à un acteur APT suspecté d'affiliation chinoise. Cinq jours entre le patch et l'exploitation APT active — c'est devenu la nouvelle norme pour les vulnérabilités critiques d'infrastructure de virtualisation.

CVE-2026-59310 réside dans le service Syslog de vCenter Server. Une requête HTTP spécialement forgée intégrant des séquences de traversée de chemin permet à un attaquant non authentifié d'écrire des fichiers arbitraires sur le système de fichiers du serveur vCenter. En pratique, cette écriture arbitraire aboutit à une exécution de code avec les privilèges du service vCenter — généralement root sur l'appliance VMware. La faille s'accompagne d'une vulnérabilité connexe, CVE-2026-59309, également corrigée dans le même bulletin Broadcom.

La campagne documentée par QUIRSO GmbH et confirmée par des analystes de The Hacker News montre un schéma d'attaque sophistiqué et automatisé. Après exploitation initiale via CVE-2026-59310, les attaquants déployaient un cron job malveillant utilisant reverse_ssh, un outil open source légitime permettant d'établir des tunnels SSH inverses vers une infrastructure C2. Ce mécanisme de persistance se maintient après redémarrage et résiste aux tentatives de remédiation partielle — caractéristique typique des implantations APT de long terme.

Dans certains environnements compromis, les attaquants ont déployé un ransomware dérivé de la fuite du code source Babuk, suggérant soit une double motivation espionnage/monétisation, soit la présence de plusieurs acteurs distincts exploitant simultanément la même fenêtre de vulnérabilité. Le déploiement de ransomware sur des hyperviseurs VMware est une tendance lourde depuis 2023 : compromettre vCenter permet de chiffrer simultanément toutes les VMs gérées, démultipliant l'impact.

L'attribution à un acteur China-nexus repose sur plusieurs indicateurs techniques convergents : les TTPs observés recoupent ceux documentés pour des groupes APT chinois actifs dans l'espionnage d'infrastructure critique, les horaires d'activité des serveurs C2 correspondent aux fuseaux horaires UTC+8, et l'infrastructure réseau utilisée présente des recoupements avec des campagnes antérieures attribuées à des groupes liés à la Chine. L'attribution formelle reste prudente dans la terminologie des chercheurs — "suspected China-nexus" — mais les indicateurs sont concordants.

L'utilisation de reverse_ssh comme outil de persistance est représentative de la technique LOTL (Living Off The Land) adoptée par les APT modernes. reverse_ssh est un outil open source légitime, référencé sur GitHub, utilisé par des administrateurs systèmes pour des connexions SSH inversées dans des environnements réseau restrictifs. L'utiliser comme backdoor APT complique la détection : il n'est pas détecté comme malware par les antivirus classiques.

L'ampleur géographique de la campagne est frappante : 361 adresses IP victimes identifiées dans 47 pays. Plus de la moitié se concentrent dans cinq pays : Allemagne (en tête), États-Unis, Turquie, Iran, et France. La présence française dans ce top 5 est préoccupante — elle reflète l'exposition de nombreuses organisations françaises ayant leur vCenter directement accessible depuis Internet, malgré les recommandations ANSSI répétées sur la protection des interfaces d'administration.

Des scans internet actifs à la recherche de serveurs vCenter vulnérables ont été détectés dès le 31 juillet 2026 — deux jours après la publication du patch, et trois jours avant le début des exploitations confirmées. Ces scans préparatoires sont caractéristiques d'une opération APT organisée : collecte de cibles, priorisation, exploitation ciblée. Les 361 victimes documentées représentent uniquement les compromissions confirmées — le chiffre réel est vraisemblablement plusieurs fois supérieur.

Impact et exposition

Sont exposés tous les environnements VMware vCenter Server non patchés avec le bulletin Broadcom du 29 juillet 2026, en particulier ceux dont l'interface de gestion est accessible depuis Internet. La compromission de vCenter implique un risque de contrôle total de l'infrastructure de virtualisation : accès à toutes les VMs, extraction d'images disque, déploiement de malware sur l'ensemble du parc, possibilité de chiffrement massif par ransomware. VMware vCenter étant le point central de gestion du datacenter, sa compromission représente souvent la prise de contrôle complète de l'infrastructure d'une organisation.

Recommandations

• Appliquer le patch Broadcom immédiatement : le correctif pour CVE-2026-59310 et CVE-2026-59309 est disponible depuis le 29 juillet 2026. Si ce n'est pas encore fait, c'est une urgence absolue.
• Isoler vCenter d'Internet : l'interface de gestion vCenter ne doit jamais être directement accessible depuis Internet. La placer derrière un VPN avec MFA ou un bastion d'administration dédié.
• Rechercher des indicateurs de compromission : vérifier les logs Syslog vCenter pour des patterns de path traversal, rechercher des cron jobs anormaux créés après le 29 juillet 2026, et scanner les connexions SSH sortantes inattendues depuis l'appliance.
• Auditer les accès depuis le 29 juillet 2026 : revoir l'ensemble des actions d'administration vCenter sur cette période et investiguer toute activité non planifiée.
• Engager une analyse forensique : en cas de suspicion de compromission, ne pas tenter de remédiation sans expertise forensique — effacer les traces d'une implantation APT sans investigation complète compromet l'analyse.