En bref

  • CVE-2026-59310 (CVSS 9.8) : RCE via path traversal dans le service Syslog de VMware vCenter Server, exploitée par un acteur APT China-nexus déployant Babuk ransomware sur ESXi
  • 361 adresses IP victimes confirmées dans 47 pays — France 5ème pays le plus touché avec 27 victimes ; CISA confirme l'exploitation ransomware le 15 septembre 2026
  • Patch Broadcom disponible depuis le 29 juillet 2026 — toute instance non patchée après cette date doit faire l'objet d'une investigation forensique

Les faits

Le 15 septembre 2026, CISA a officiellement confirmé que des groupes ransomware exploitent activement CVE-2026-59310, une vulnérabilité critique de type path traversal (CVSS 9.8) dans le service Syslog de VMware vCenter Server, et a mis à jour son catalogue KEV en conséquence. Cette confirmation intervient près d'un mois après l'ajout initial de la faille au KEV le 18 août 2026, alors que l'exploitation était encore principalement associée à un acteur APT à nexus chinois opérant sous le nom de code UNC4821 selon les chercheurs de Mandiant.

La vulnérabilité CVE-2026-59310 réside dans le traitement des messages Syslog par vCenter Server. Un attaquant non authentifié peut envoyer un message Syslog spécialement crafté contenant une séquence de traversée de chemin qui permet d'écrire des fichiers arbitraires à des emplacements arbitraires sur le système de fichiers du serveur vCenter. Cette primitive d'écriture arbitraire est ensuite utilisée pour déposer des backdoors persistants, modifier des scripts de démarrage, ou déposer des binaires malveillants dans des répertoires exécutés automatiquement par les services VMware au démarrage.

La société allemande de réponse aux incidents QUIRSO a été la première à documenter l'ampleur de la campagne dans un rapport publié fin août 2026. Leurs chercheurs ont cartographié 361 adresses IP uniques compromises à travers 47 pays en analysant les infrastructures de commande et contrôle des attaquants. Les cinq pays les plus touchés sont l'Allemagne avec 67 victimes, les États-Unis avec 58 victimes, la Turquie avec 34 victimes, l'Iran avec 29 victimes, et la France avec 27 victimes. Ces chiffres représentent les victimes identifiables via les infrastructures d'attaque connues — le nombre réel de compromissions est probablement significativement supérieur.

La chaîne d'attaque documentée par QUIRSO et Mandiant se déroule en plusieurs phases distinctes. Phase 1 : exploitation de CVE-2026-59310 pour déposer un implant backdoor persistant dans le répertoire des services vCenter, permettant un accès pérenne même après redémarrage du serveur. Phase 2 : vol des credentials SSO (Single Sign-On) de l'infrastructure VMware via dumping de la base de données vCenter Identity Service, accessible localement une fois le serveur vCenter compromis. Phase 3 : utilisation des credentials SSO pour pivoter vers les ESXi hôtes gérés par le vCenter compromis, en utilisant les API VMware authentifiées. Phase 4 : déploiement du binaire ransomware Babuk adapté pour ESXi sur tous les hôtes accessibles.

Le ransomware déployé est une variante de Babuk spécialement recompilée pour l'architecture ESXi. Selon l'analyse de Mandiant, le binaire embarque des scripts shell qui arrêtent toutes les machines virtuelles en cours d'exécution via les commandes esxcli natives, chiffrent les fichiers avec l'extension .babyk en ciblant spécifiquement les fichiers .vmdk (disques virtuels), .vmem (mémoire des VMs), .vmsn (snapshots) et .nvram (configurations), désactivent l'agent VMware HA pour empêcher la récupération automatique, et déposent une note de rançon dans chaque datastore. Cette séquence est conçue pour maximiser l'impact tout en compliquant la restauration, qui requiert de reconstruire les datastores depuis des backups sains.

Broadcom avait publié le correctif pour CVE-2026-59310 le 29 juillet 2026 dans un bulletin de sécurité d'urgence. Cependant, l'exploitation a débuté seulement cinq jours après la publication du patch — le 3 août 2026 — suggérant une analyse inverse (reverse engineering) rapide du correctif par les acteurs malveillants. Ce phénomène dit de « n-day exploitation » est de plus en plus documenté : les groupes APT les mieux équipés sont capables de développer un exploit fonctionnel depuis un diff de patch en moins de 72 heures. Le délai moyen entre publication d'un patch VMware et exploitation est passé de 14 jours en 2023 à moins de 5 jours en 2026, selon les statistiques Mandiant M-Trends 2026.

vCenter Server est le plan de contrôle de toute infrastructure VMware vSphere. Sa compromission ne se limite pas au serveur lui-même : elle donne à l'attaquant la capacité d'administrer l'intégralité des hyperviseurs gérés, d'accéder à toutes les machines virtuelles, de modifier les configurations réseau virtualisées, et de déployer des charges malveillantes sur n'importe quel hôte du cluster. Dans les environnements d'entreprise modernes, un vCenter gère souvent des centaines voire des milliers de VMs représentant l'intégralité du datacenter ou de l'infrastructure cloud privé.

Les versions affectées incluent vCenter Server 8.0 et 7.0. Broadcom a publié des correctifs pour vCenter Server 8.0 U4b, 8.0 U3f, 8.0 U2g, et 7.0 U3v. Les déploiements VMware Cloud Foundation (VCF) 5.x et 4.x sont également concernés et ont reçu leurs correctifs respectifs. Les clients disposant d'un accès au portail Broadcom Support doivent vérifier leur canal de mise à jour et télécharger le patch correspondant à leur version.

Impact et exposition

Toute organisation utilisant VMware vCenter Server non patché est exposée à une compromission complète de son infrastructure de virtualisation. Le vecteur d'attaque (service Syslog) est fréquemment accessible depuis des réseaux internes larges, voire depuis Internet dans les configurations d'administration à distance. La conséquence d'une exploitation réussie est la perte totale du contrôle sur tous les hyperviseurs gérés — ce qui dans les environnements cloud-privés et datacenters modernes représente l'ensemble des systèmes de production. La France étant le 5ème pays le plus touché, les DSI et RSSI des organisations françaises doivent traiter ce patch comme priorité absolue.

Recommandations

  • Appliquer immédiatement le correctif Broadcom pour vCenter Server (8.0 U4b, 8.0 U3f, 8.0 U2g ou 7.0 U3v selon votre version) — disponible sur le portail Broadcom Support
  • Vérifier les logs du service Syslog de vCenter depuis le 1er août 2026 pour détecter des messages anormalement longs ou contenant des séquences de traversée de chemin
  • Contrôler l'intégrité des binaires et scripts dans les répertoires de services vCenter pour détecter tout fichier créé ou modifié après le 3 août 2026 sans correspondance avec une mise à jour officielle
  • Auditer les credentials SSO actifs et révoquer tous les tokens de session créés depuis le 3 août 2026 — changer les mots de passe des comptes de service VMware
  • Isoler le port Syslog de vCenter (514/UDP et 514/TCP) aux seuls équipements réseau autorisés à envoyer des logs

Alerte critique

CVE-2026-59310 a causé 361 compromissions confirmées dans 47 pays, dont 27 en France — 5ème pays le plus touché. CISA confirme le 15 septembre 2026 que des groupes ransomware ont rejoint l'exploitation. Toute instance vCenter non patchée depuis le 29 juillet 2026 doit être auditée en urgence avant le patch — les traces d'intrusion peuvent être effacées par la mise à jour.

Comment vérifier si mon vCenter a été compromis via CVE-2026-59310 ?

Commencez par vérifier la date de modification des fichiers dans les répertoires /etc/vmware/, /usr/lib/vmware-vmon/ et les répertoires de services vCenter — tout fichier modifié après le 3 août 2026 sans correspondance avec une mise à jour légitime est suspect. Ensuite, vérifiez les logs Syslog pour des messages entrants avec des séquences de traversée de chemin (présence de « ../ »). Auditez les comptes SSO actifs : des comptes de service inconnus ou des tokens persistants au-delà de 30 jours sans connexion interactive sont des indicateurs forts de compromission. En cas de doute, contacter un expert en réponse aux incidents avant de patcher pour préserver les artefacts forensiques.

Votre infrastructure est-elle exposée ?

Ayi NEDJIMI réalise des audits de sécurité ciblés pour identifier et corriger vos vulnérabilités avant qu'elles ne soient exploitées.

Demander un audit