Broadcom hatte die Schwachstelle am 29. Juli offengelegt und gepatcht. CVE-2026-59310 ist mit 9,8 auf der CVSS-Skala als kritisch eingestuft. Nach Angaben des Herstellers steckt der Fehler im Syslog-Server von VMware vCenter und erlaubt über Directory Traversal eine Remotecodeausführung.

Quirso berichtet, dass Bedrohungsakteure inzwischen mit der Ausnutzung begonnen haben. Dem Unternehmen zufolge ist ein APT-Akteur auf über das Web erreichbare VMware-vCenter-Server aus, die für CVE-2026-59310 anfällig sind. Zur Aufrechterhaltung des Zugriffs nutzten die Angreifer eine Reverse Shell.

Nach Beobachtungen von Quirso begann die Ausnutzung am 3. August. Bis zum 5. August seien mehr als 340 Opfer-IP-Adressen dabei gesehen worden, wie sie Verbindungen zur Infrastruktur der Angreifer aufbauten. Quirso weist zugleich darauf hin, dass sich aus diesen IP-Adressen nicht die genaue Zahl betroffener Organisationen ableiten lässt, weil eine IP-Adresse nicht zwingend einem einzelnen Unternehmen oder einem einzelnen physischen System entspricht. Ein Teil der Adressen gehöre Hosting-Anbietern, Cloud-Netzen oder gemeinsam genutzter Infrastruktur.

Insgesamt identifizierte Quirso nach eigenen Angaben mehr als 360 Opfer-IP-Adressen in 47 Ländern. Etwa die Hälfte davon verteilt sich auf nur fünf Länder: Deutschland, die USA, die Türkei, Iran und Frankreich.

Quirso hält es für möglich, dass die Angreifer schon vorab Kenntnis von der Schwachstelle hatten. Gleichzeitig verweist das Unternehmen auf die enge zeitliche Korrelation zwischen Offenlegung und Ausnutzung und sieht darin einen Hinweis darauf, dass die Veröffentlichung der Ausgangspunkt der Kampagne gewesen sein könnte.

Nach der initialen Kompromittierung legten die Angreifer laut Quirso das quelloffene SSH-Reverse-Shell-Framework reverse_ssh auf den Systemen ab. Damit hielten sie eine ausgehende Kontrollverbindung von den kompromittierten Systemen aufrecht. Das diene dazu, Sicherheitskontrollen zu umgehen, die eingehende Verbindungen üblicherweise blockieren.

Zur Erkennung von reverse_ssh hat Quirso eine allgemeine YARA-Regel veröffentlicht. Da das Werkzeug auch für legitime Penetrationstests eingesetzt werden kann, rät das Unternehmen Organisationen mit öffentlich erreichbaren vCenter-Systemen, Treffer nicht isoliert zu bewerten. Stattdessen sollten sie zusätzlich auf unautorisierte Installationen sowie auf unerwartete ausgehende Verbindungen und Ausführungen achten.