VMware vCenter : la CISA alerte sur une faille critique désormais exploitée par des rançongiciels

La CISA (Cybersecurity and Infrastructure Security Agency), l'agence américaine de cybersécurité, a averti que la faille critique CVE-2026-59310 affectant VMware vCenter Server est désormais exploitée par des groupes de rançongiciels, plus d'un mois et demi après la publication du correctif par Broadcom le 29 juillet 2026.

Ce qu'est vCenter, et pourquoi sa compromission change d'échelle

vCenter Server est la console d'administration centrale de l'écosystème de virtualisation VMware. C'est depuis cette interface qu'un service informatique crée, déplace, sauvegarde ou supprime les machines virtuelles hébergées sur ses serveurs physiques. Dans une entreprise de taille moyenne, un seul vCenter peut piloter plusieurs dizaines d'hyperviseurs, eux-mêmes hébergeant des centaines de serveurs virtuels : contrôleurs de domaine, bases de données, serveurs de fichiers, sauvegardes.

C'est cette position qui explique l'appétit des groupes de rançongiciels pour ce type de cible. Chiffrer les machines virtuelles depuis l'hyperviseur, plutôt que d'infecter chaque système d'exploitation invité un par un, permet de paralyser l'intégralité d'un parc en une seule opération, souvent en contournant les protections installées à l'intérieur des machines. Une compromission de vCenter ne se traduit donc pas par un incident isolé, mais potentiellement par l'arrêt simultané de toute l'infrastructure d'une organisation.

Une faille de traversée de répertoires exploitable sans authentification

La vulnérabilité touche le service Syslog de vCenter Server, le composant chargé de collecter les journaux d'événements. Il s'agit d'une faille dite de traversée de répertoires : l'application accepte un chemin de fichier fourni de l'extérieur sans vérifier correctement qu'il reste confiné au dossier prévu, ce qui permet d'écrire ou de lire des fichiers ailleurs sur le système. Exploitée sur ce composant, elle débouche sur l'exécution de code arbitraire à distance, sans qu'aucun identifiant valide ne soit nécessaire.

L'absence d'authentification est l'élément déterminant ici. Elle signifie qu'un attaquant n'a pas besoin d'avoir préalablement compromis un compte administrateur, ni d'être déjà présent sur le réseau interne si l'interface est joignable. Un simple balayage d'adresses exposées sur Internet suffit à identifier les cibles.

Ce que montrent les données de terrain

Selon les relevés du chercheur QUIRSO effectués deux semaines après la publication du correctif, plus de 361 adresses IP réparties dans 47 pays montraient déjà des signes de compromission. Ce chiffre porte sur les systèmes détectés comme compromis, et non sur le nombre de systèmes vulnérables, qui est nécessairement supérieur : il s'agit donc d'un plancher, pas d'un bilan.

Les attaquants observés déploient des outils de tunnel SSH inversé. Le principe consiste à faire initier la connexion par la machine compromise vers un serveur contrôlé par l'attaquant, plutôt que l'inverse. L'intérêt pour l'attaquant est double : la connexion sortante passe généralement sans encombre à travers les pare-feu, qui filtrent surtout le trafic entrant, et l'accès survit aux redémarrages ainsi qu'aux tentatives de nettoyage partielles.

Que dit la CISA ?

L'agence a d'abord ajouté la faille à son catalogue des vulnérabilités connues et activement exploitées (Known Exploited Vulnerabilities, ou KEV), en ordonnant aux agences fédérales américaines de sécuriser leurs systèmes vCenter sous trois jours. Elle a ensuite mis à jour son avis pour signaler que la faille est désormais également exploitée par des groupes de rançongiciels, sans toutefois nommer publiquement ces groupes.

Traiter la correction comme une urgence et installer les correctifs dès que possible.

Cette mise à jour de l'avis marque un changement de nature de la menace. Une faille exploitée pour de l'espionnage ou de la reconnaissance laisse généralement du temps à la victime ; une faille reprise par des opérateurs de rançongiciels se solde par un chiffrement et une demande de rançon en quelques jours, parfois quelques heures après l'intrusion initiale.

Que faire ?

Le correctif de Broadcom, propriétaire de VMware depuis son rachat en 2023, est disponible depuis le 29 juillet 2026. Les entreprises qui ne l'ont pas encore déployé disposent donc d'une fenêtre de plusieurs semaines pendant laquelle leur infrastructure a pu être exposée sans protection.

En pratique, les équipes de sécurité ont deux chantiers distincts à mener. Le premier est l'application du correctif sur l'ensemble des instances vCenter, y compris celles qui ne sont pas censées être exposées à Internet. Le second est une recherche rétroactive d'indices de compromission couvrant toute la période depuis fin juillet : connexions sortantes persistantes depuis les serveurs vCenter, processus SSH inattendus, comptes administrateurs créés sans ticket correspondant, et modifications non tracées des règles de sauvegarde, souvent ciblées en priorité par les opérateurs de rançongiciels pour empêcher la restauration.

Ce délai entre correctif disponible et correctif appliqué reste le point faible structurel de ce type d'incident. Il rappelle celui observé lors de l'exploitation de la faille critique GitLab notée 10 sur 10, elle aussi rapidement reprise par des attaquants après sa divulgation publique, ou celle de la faille Cisco Secure Email Gateway.

Source

Information rapportée par BleepingComputer.