Une vulnérabilité critique affectant VMware vCenter fait l’objet d’une campagne d’exploitation active quelques jours seulement après la publication d’un correctif. Référencée CVE-2026-59310, la faille affiche un score CVSS de 9,8 sur 10 et permet à un attaquant disposant d’un accès réseau à vCenter d’exécuter du code arbitraire.

La vulnérabilité réside dans le serveur Syslog de vCenter et repose sur un défaut de traversée de répertoires (« directory traversal »). Broadcom l’a corrigée le 29 juillet dans le cadre de son bulletin VMSA-2026-0006, qui traite également plusieurs autres vulnérabilités touchant vCenter et ESXi. Aucun mécanisme de contournement temporaire n’est proposé par l’éditeur.

Selon la société allemande de réponse à incidents QUIRSO, les premières exploitations de CVE-2026-59310 ont été observées dès le 3 août. Les chercheurs estiment que 361 adresses IP ont été compromises dans 47 pays, notamment en Allemagne, aux États-Unis, en Turquie, en Iran et en France, où 25 adresses IP auraient été touchées.

QUIRSO attribue avec un niveau de confiance modéré cette campagne à un acteur probablement sinophone. L’exploitation permettrait d’obtenir directement une exécution de code avec les privilèges root sur l’appliance vCenter. Les attaquants ont notamment installé des portes dérobées et des outils de reverse SSH afin de conserver un accès persistant aux systèmes compromis. Dans au moins un cas analysé, l’intrusion a débouché sur le déploiement, sur des hôtes ESXi, d’un rançongiciel dérivé de Babuk.

La CISA américaine a ajouté le 18 août CVE-2026-59310 à son catalogue des vulnérabilités activement exploitées, confirmant son utilisation dans des attaques réelles.

Le CERT-FR avait de son côté publié dès le 30 juillet un avis recensant les vulnérabilités corrigées par Broadcom et leurs risques, parmi lesquels l’exécution de code arbitraire à distance. Pour vCenter 8, les versions antérieures à 8.0 U3k sont notamment concernées. Broadcom recommande également le passage à 9.0.2.0100 pour la branche 9.0 et à 9.1.0.0300 pour la branche 9.1. Les administrateurs sont désormais incités non seulement à appliquer les correctifs sans délai, mais aussi à rechercher d’éventuelles traces de compromission sur les serveurs qui ont été exposés avant leur mise à jour.

Nos lecteurs ont lu ensuite