Amerykańska agencja CISA zaktualizowała 15 września 2026 roku wpis w swoim katalogu aktywnie wykorzystywanych podatności i dorzuciła do niego adnotację, której żaden administrator nie chce zobaczyć: luka CVE-2026-59310 w VMware vCenter Server jest już wykorzystywana przez grupy ransomware. Dziura była łatana przez Broadcom pod koniec lipca, a od sierpnia figurowała w katalogu KEV jako narzędzie kampanii szpiegowskiej. Teraz dołączyli do niej zwykli przestępcy, którym chodzi wyłącznie o okup.
Na czym polega podatność
CVE-2026-59310 to błąd typu path traversal w usłudze Syslog serwera vCenter, oceniony na 9.8 w skali CVSS. Nieuwierzytelniony napastnik może przez niego zapisać plik w dowolnym miejscu systemu plików, a w praktyce prowadzi to prosto do zdalnego wykonania kodu. Nie potrzeba loginu, hasła ani interakcji użytkownika — wystarczy dostęp sieciowy do podatnego serwera.
Problem w tym, czym vCenter jest w typowej firmie. To centralny punkt zarządzania całą wirtualizacją: z jednej konsoli kontroluje się dziesiątki hostów ESXi i setki maszyn wirtualnych. Kto przejmie vCenter, przejmuje nie jeden serwer, lecz całą serwerownię naraz.
Od szpiegostwa do okupu
Pierwotna kampania przypisywana była aktorowi powiązanemu z Chinami. Według analiz napastnicy skompromitowali kilkaset adresów IP w blisko pięćdziesięciu krajach, zakładali trwałe tylne furtki, wykradali poświadczenia logowania SSO, a na koniec uruchamiali na hostach ESXi ransomware oparte na kodzie rodziny Babuk.
To scenariusz szczególnie dotkliwy, bo szyfrowanie na poziomie hipernadzorcy omija większość zabezpieczeń działających wewnątrz maszyn wirtualnych. Antywirus zainstalowany w gościnnym systemie nie zobaczy niczego — pliki dysków wirtualnych są szyfrowane piętro niżej. Kopie zapasowe trzymane na tej samej infrastrukturze najczęściej padają razem z produkcją.
Moment, w którym do kampanii dołączają gangi ransomware, zwykle oznacza też zmianę skali. Aktorzy państwowi wybierają cele. Przestępcy skanują internet masowo i uderzają we wszystko, co odpowie.
Co zrobić już teraz
Podstawą jest aktualizacja vCenter Server do wersji z poprawką Broadcom — łatka istnieje od końca lipca, więc każdy dzień zwłoki to prezent dla napastnika. Równie ważne jest sprawdzenie, czy interfejs zarządzania w ogóle musi być widoczny z internetu. W zdecydowanej większości wdrożeń nie musi, a odcięcie go i wystawienie dostępu wyłącznie przez VPN lub wydzieloną sieć zarządzania likwiduje problem u źródła.
Sama łatka nie cofa jednak włamania, które już nastąpiło. Jeśli serwer był wystawiony publicznie od sierpnia, trzeba założyć, że mógł zostać naruszony: przejrzeć logi Syslog i dostępu, poszukać nieznanych zadań i kont, zrotować hasła oraz poświadczenia SSO i sprawdzić hosty ESXi pod kątem obcych plików. Warto też upewnić się, że kopie zapasowe leżą poza zasięgiem tej samej infrastruktury i są niemodyfikowalne — to jedyna rzecz, która ratuje po udanym ataku ransomware.
Podsumowanie
Ta historia to podręcznikowy przykład tego, jak żyje podatność. Najpierw wąska, dyskretna kampania wywiadowcza. Potem publikacja szczegółów, wpis w katalogu KEV i dostępne exploity. Na końcu masowe skanowanie i ransomware dla każdego, kto nie zdążył załatać. Między łatką a falą ataków minęło niecałe dwa miesiące — i właśnie tyle realnie mamy czasu na aktualizację krytycznych systemów.