Broadcom hatte CVE-2026-59310 am 29. Juli offengelegt. Der Hersteller beschreibt die Schwachstelle als kritische Directory-Traversal-Lücke im vCenter Syslog Server. Ein nicht authentifizierter Angreifer mit Netzwerkzugang könne sie ausnutzen, um beliebigen Code auszuführen. Workarounds oder andere Minderungsmaßnahmen nennt Broadcom nicht; stattdessen verweist der Anbieter auf ein Notfall-Update sowie zusätzliche Informationen in einem FAQ-Beitrag. Welche vCenter-Versionen das Problem beheben, führt Broadcom in seinen Hinweisen auf.
VMware vCenter ist die zentrale Verwaltungssoftware für die Steuerung, Überwachung und Konfiguration der VMware-Virtualisierungsumgebung eines Unternehmens. Dazu zählen virtuelle Maschinen, ESXi-Server, Konfigurationen und Zugriffsberechtigungen. Gerade wegen dieser weitreichenden Kontrolle über mehrere kritische Systeme ist das Produkt ein häufiges Ziel.
Nach Angaben von QUIRSO begannen kompromittierte Systeme am 3. August damit, Verbindungen zu einer von den Angreifern kontrollierten Infrastruktur aufzubauen. Das war laut dem Unternehmen nur fünf Tage nach der Veröffentlichung der Schwachstelle durch Broadcom und der Bereitstellung des Notfall-Patches. Bereits am 4. August beobachtete QUIRSO 151 neue Opfer-IP-Adressen; einen Tag später lag die Zahl der betroffenen IPs demnach bei 343.
Bis zum 7. August identifizierte QUIRSO insgesamt 361 Opfer-IP-Adressen in 47 Ländern. Mehr als die Hälfte dieser Adressen befinden sich nach Angaben des Unternehmens in Deutschland, den USA, der Türkei, dem Iran und Frankreich. Die Kampagne habe sich damit in kurzer Zeit deutlich ausgeweitet.
Sobald sich die Angreifer Zugang zu verwundbaren vCenter-Systemen verschafft haben, installieren sie laut QUIRSO das Open-Source-Framework reverse_ssh. Dieses dient dazu, Persistenz herzustellen und einen Fernzugang aufrechtzuerhalten. Die Reverse-SSH-Verbindung schafft dabei einen ausgehenden Command-and-Control-Kanal und kann außerdem helfen, Firewalls oder andere Netzwerksicherheitsmaßnahmen zu umgehen.
QUIRSO hat eine allgemeine YARA-Regel veröffentlicht, die reverse_ssh-Client-Binärdateien erkennen soll. Die Forscher weisen jedoch darauf hin, dass auch eine legitime Nutzung des Werkzeugs einen Alarm auslösen kann. Weitere spezifische Indikatoren hält das Unternehmen nach eigenen Angaben derzeit zurück, weil noch eine Abstimmung mit Strafverfolgungsbehörden läuft.
Nach Einschätzung von QUIRSO steckt hinter der Ausnutzung ein Akteur aus dem Bereich der fortgeschrittenen, dauerhaft agierenden Bedrohungen. Belege für diese Einschätzung legte das Unternehmen in dem Bericht jedoch nicht vor. QUIRSO kündigte einen ausführlicheren Folgebericht an, der sich mit der Infrastruktur der Angreifer, ihren Techniken, den Persistenzmechanismen und Aktivitäten nach der Kompromittierung befassen soll.
BleepingComputer hat Broadcom um eine Stellungnahme zu den Erkenntnissen von QUIRSO gebeten. Bis zur Veröffentlichung lag laut dem Bericht keine Antwort des Herstellers vor.