QUIRSO bewertet die beobachtete Aktivität als erfolgreiche Kompromittierung und nicht bloß als Ausnutzungsversuch. Denis Szadkowski, COO und Mitgründer von QUIRSO GmbH, sagte gegenüber The Hacker News, die forensischen Spuren deuteten mit deutlich höherer Sicherheit auf CVE-2026-59310 als Vektor für den Erstzugang hin. Die Schwachstelle erlaubt laut Beschreibung die Ausführung beliebigen Codes auf VMware vCenter, sofern ein Angreifer Netzwerkzugang hat.
Nach Angaben von QUIRSO bestand die Angriffskette aus Path-Traversal-Aktivität, gefolgt von der Installation eines manipulierten Cron-Jobs. Dieser sollte mittels reverse_ssh Persistenz herstellen. Das Werkzeug ist bemerkenswert, weil es eine ausgehende Verbindung zu einem vom Angreifer kontrollierten Endpunkt aufbauen kann und damit Sicherheitskontrollen umgeht, die verdächtige eingehende Anfragen blockieren sollen.
Gleichzeitig betonte QUIRSO, dass das bloße Vorhandensein von reverse_ssh allein kein Beweis für bösartige Aktivität sei. In Verbindung mit einer unautorisierten Installation, unerwarteten ausgehenden Verbindungen oder einer Ausführung auf einer verwundbaren vCenter-Appliance sei es jedoch ein hochprioritärer Indikator, der untersucht werden müsse.
Die von QUIRSO identifizierten kompromittierten Systeme nahmen demnach erstmals am 3. August Verbindung zu den Domains der Angreifer auf. Das geschah fünf Tage nach der öffentlichen Offenlegung durch Broadcom. Insgesamt nennt das Unternehmen bis zu 361 eindeutige Opfer-IP-Adressen in 47 Ländern. Die meisten davon befinden sich laut QUIRSO in Deutschland, den USA, der Türkei, dem Iran und Frankreich.
Zur Einordnung der Kampagne erklärte QUIRSO, der zeitliche Zusammenhang zwischen Offenlegung und Ausnutzung sei auffällig. Zwar könnten die Angreifer bereits vorher Kenntnis von der Schwachstelle gehabt haben, die starke Korrelation spreche jedoch dafür, dass die Veröffentlichung der Ausgangspunkt der Kampagne gewesen sei. Wer hinter der Ausnutzung steckt, ist laut Bericht unklar; vermutet wird jedoch ein Akteur aus dem Umfeld einer Advanced Persistent Threat.
Der Bericht verweist außerdem darauf, dass VMware-Appliances schon mehrfach ein lohnendes Ziel für chinesische Angreifer wie UNC5174 waren. Diese hätten Schwachstellen in VMware Tools und VMware vCenter in verschiedenen Spionagekampagnen ausgenutzt. Im April 2025 hatte SentinelOne zudem Details zu einem Bedrohungscluster namens PurpleHaze veröffentlicht, das eine regierungsnahe Organisation in Südasien mit der Windows-Hintertür GoReShell angriff. Diese nutzt Funktionen von reverse_ssh, um Reverse-SSH-Verbindungen zu Angreifer-Systemen aufzubauen.
Parallel dazu beobachtet Defused Cyber nach eigenen Angaben einen deutlichen Anstieg von Scans auf VMware vCenter, der auf mögliche Ausnutzungsversuche gegen CVE-2026-59309 mit ebenfalls 9,8 CVSS-Punkten hindeutet. Das Unternehmen meldet verstärktes Fingerprinting in seinen Honeypots, darunter Versionsabfragen über POST /sdk/ mit RetrieveServiceContent sowie Zugriffe auf den /websso-SAML-SSO-Ablauf. Diese Aktivität fällt laut Defused Cyber mit Broadcoms VMSA-2026-0006 zusammen, das CVE-2026-59309 als nicht authentifizierte Authentifizierungsumgehung in vmdir beschreibt.
Einen belastbaren Zusammenhang zwischen den Scans zu CVE-2026-59309 und der von QUIRSO untersuchten Kompromittierung über CVE-2026-59310 gibt es nach Aussage von Szadkowski derzeit aber nicht. Dafür reichten die Belege bislang nicht aus, weder in Bezug auf das Eindringset noch auf die verwendete Angreifer-Infrastruktur.