QUIRSO ha trovato che l’exploit di CVE-2026-59310 non si è fermato al code execution: su VMware vCenter l’attaccante ha installato una persistenza via cron con reverse_ssh, così il controllo del piano di gestione può restare vivo anche dopo la patch. Il punto non è solo il server compromesso, ma la console che brocca l’accesso a tutta la flotta gestita.
Broadcom ha corretto la falla, ma i sistemi osservati hanno prima contattato l’infrastruttura dell’attaccante il 3 agosto e poi mostrano 361 IP vittima in 47 paesi. reverse_ssh apre un canale in uscita verso host controllati dall’attaccante, quindi un blocco degli ingressi non basta a dire chiusa l’intrusione.
Per chi amministra vCenter, il problema resta sul management plane: se l’attaccante è già dentro, la correzione del CVE non basta a rimuovere il punto d’appoggio. È uno schema che vale anche per altri appliance di amministrazione che raggiungono molti sistemi.
story_meaning
La patch chiude la falla, ma non garantisce l’uscita dell’attaccante se la persistenza sul host è già stata installata.
why_now
Sfruttamento confermato e persistenza post-patch