// TOM'S HARDWARE ITALIA — CYBERSECURITY
VMware vCenter Server, una falla è sfruttata dai ransomware: cosa fare?
La CISA, l’agenzia statunitense per la sicurezza informatica, ha aggiornato il proprio catalogo delle vulnerabilità sfruttate negli attacchi per segnalare l’impiego di una falla critica di VMware vCenter Server anche da parte dei gruppi ransomware. Il difetto, già corretto a fine luglio, permette agli aggressori di eseguire codice senza autenticarsi sul sistema che gestisce l’infrastruttura virtualizzata.
La vulnerabilità è identificata come CVE-2026-59310 e riguarda il server Syslog di vCenter, un componente dedicato alla raccolta dei log. Il problema è un directory traversal: una gestione scorretta dei percorsi permette di accedere al di fuori delle directory previste. In questo caso, lo sfruttamento può arrivare all’esecuzione di codice arbitrario, senza richiedere credenziali all’attaccante.
Broadcom ha distribuito la correzione a fine luglio e, nelle FAQ di accompagnamento, ha chiesto ai clienti di trattare l’aggiornamento come un’emergenza. Per chi amministra vCenter, l’intervento indicato dal produttore è quindi installare le patch quanto prima. La successiva inclusione nel catalogo KEV aveva già imposto alle agenzie federali statunitensi di mettere in sicurezza i sistemi interessati entro tre giorni.
Gli attacchi erano stati documentati circa due settimane dopo la pubblicazione della patch. La società di analisi forense e risposta agli incidenti QUIRSO aveva individuato oltre 361 indirizzi IP compromessi in 47 Paesi. L’attività, attribuita a un sospetto attore APT, sfruttava la falla per distribuire uno strumento di reverse SSH, impiegato per mantenere la persistenza e l’accesso remoto ai sistemi violati.
Il monitoraggio di Shadowserver conta oltre 450 server vCenter esposti su Internet, ma non indica quanti abbiano già ricevuto la correzione. L’esposizione di questi sistemi si inserisce nella più ampia pressione degli attacchi ransomware anche sull’Italia: un’infrastruttura di gestione compromessa può consentire l’accesso alla rete aziendale e ai dati sensibili conservati nei sistemi interni.
I gruppi ransomware hanno già sviluppato strumenti di cifratura dedicati alle macchine virtuali VMware, utilizzate dalle imprese per gestire e archiviare dati aziendali. Anche gli host ESXi sono bersagli ricorrenti: a febbraio la CISA aveva segnalato l’impiego, nelle operazioni ransomware, della vulnerabilità di evasione dalla sandbox CVE-2025-22225, già sfruttata in attacchi zero-day da attori di lingua cinese almeno dal febbraio 2024.
Dall’inizio dell’anno, l’agenzia ha inoltre segnalato lo sfruttamento di CVE-2026-22719 in VMware Aria Operations e di CVE-2024-37079 in vCenter Server, rispettivamente a febbraio e marzo. Negli ultimi cinque anni, la CISA ha classificato 26 vulnerabilità VMware come effettivamente sfruttate negli attacchi: nove risultano utilizzate anche nelle operazioni ransomware, un dato che documenta la presenza continuativa di questi prodotti tra gli obiettivi dei gruppi criminali.
Aggiungi Tom's Hardware alle tue fonti preferite su Google