CVE-2026-59310 ist die jüngste VMware-Schwachstelle, die in laufenden Angriffen auftaucht. Nach bisherigem Stand scheinen die Attacken allerdings auf einen einzelnen mutmaßlichen APT-Akteur begrenzt zu sein. Gleichzeitig zeigt der Fall erneut, wie kurz das Zeitfenster zwischen öffentlicher Offenlegung und aktiver Ausnutzung bei stark ins Visier genommenen Produkten wie VMware ausfallen kann.
QUIRSO verfolgte die Aktivitäten in 47 Ländern. Am stärksten betroffen waren nach Angaben des Unternehmens die USA, Frankreich, Iran und die Türkei. Insgesamt identifizierte QUIRSO 361 einzigartige IP-Adressen, die von der Kampagne betroffen waren. Das Unternehmen betont jedoch, dass diese Zahl nicht mit der Gesamtzahl der Opfer gleichzusetzen ist, weil einige der Adressen zu Cloud- oder Hosting-Anbietern gehören und Infrastruktur gemeinsam genutzt wird.
Besondere Sorge bereitet der laut QUIRSO eingesetzte Mechanismus zur Absicherung des Zugriffs nach der Ausnutzung. Der Bedrohungsakteur nutze reverse_ssh, ein Open-Source-Werkzeug für Penetrationstests, das aus kompromittierten Systemen ausgehende Steuerungskanäle aufbauen kann. Denis Szadkowski, Chief Operations Officer und Mitgründer von QUIRSO, sagte gegenüber Dark Reading, dass der Zugriff eines Angreifers bestehen bleiben könne, wenn die Lücke in einer verwundbaren vCenter-Instanz ausgenutzt und anschließend reverse_ssh verwendet wurde – selbst dann, wenn die Software später auf eine korrigierte Version aktualisiert wird.
Szadkowski spricht von einem „Wettlauf zwischen Ausnutzung und Patchen“. QUIRSO empfiehlt deshalb eine forensische Untersuchung potenziell betroffener Systeme, um eine bereits erfolgte Kompromittierung auszuschließen. Das Unternehmen veröffentlichte zudem eine YARA-Regel, mit der sich reverse_ssh-Builds identifizieren lassen, und rief Organisationen dazu auf, ihre vCenter-Instanzen auf Kompromittierungsanzeichen zu prüfen.
Der Höhepunkt der beobachteten Kampagne lag laut QUIRSO am 4. August, doch die Angriffe dauern nach Aussage von Szadkowski an. Man sehe weiterhin neue Opfer, die sich mit der vom Angreifer kontrollierten reverse_ssh-Infrastruktur verbinden. Zugleich wirkten die Angreifer offenbar ahnungslos darüber, dass diese Infrastruktur überwacht werde. Die Zahl neuer Opfer steige weiter, wenn auch langsamer als in den ersten Tagen, weil die Zahl ungepatchter und ausnutzbarer Systeme mit der Zeit sinke.
In seinem Blogbeitrag hält QUIRSO es für möglich, dass der Bedrohungsakteur die Schwachstelle schon vorab kannte. Der zeitliche Ablauf der Angriffe deute jedoch darauf hin, dass die öffentliche Offenlegung von CVE-2026-59310 den Startpunkt der Kampagne markierte. Szadkowski sagte außerdem, dass die fünf Tage zwischen Offenlegung und Ausnutzung nicht zwingend auf besondere VMware-Erfahrung des Angreifers hindeuteten. Er verweist auf sogenanntes Patch-Diffing nach Sicherheitsmeldungen: Ein ausreichend versierter Forscher könne in diesem Zeitraum einen Patch analysieren und daraus einen Exploit entwickeln.
Matt Snyder, Principal Engineer sowie Leiter für Detection and Response bei Aviatrix, sieht in dem kurzen Patch-Fenster eine erhebliche Herausforderung für Organisationen. Gegenüber Dark Reading sagte er, VMware-Produkte stünden bei sehr unterschiedlichen Akteuren im Fokus – von Cyberkriminellen bis zu staatlichen Gruppen –, weil die Software in Unternehmen weit verbreitet sei. Ein Angriff auf vCenter betreffe deshalb nicht nur eine einzelne Anwendung, sondern potenziell die gesamte Umgebung. Snyder verwies zudem auf die Komplexität virtueller Umgebungen und von Hypervisoren, die das Patchen von VMware-Produkten schwieriger mache als bei gewöhnlichen Anwendungen.