Een kwetsbaarheid in VMware vCenter staat aanvallers in staat om binnen te dringen in de IT-omgeving van getroffen organisaties.
Cybercriminelen maken actief misbruik van een onlangs gedicht beveiligingslek in VMware vCenter Server. Via de kwetsbaarheid kunnen aanvallers zonder inloggegevens code uitvoeren op kwetsbare systemen. Onderzoekers hebben inmiddels 361 getroffen IP-adressen in 47 landen geïdentificeerd.
Het lek bevindt zich in de Syslog Server van vCenter en kreeg het label kritiek. Broadcom maakte de kwetsbaarheid op 29 juli bekend en bracht op dat moment ook noodupdates uit.
Aanvallen breiden snel uit
De slachtoffers bevinden zich verspreid over 47 landen. Meer dan de helft van de getroffen systemen staat in Duitsland, de Verenigde Staten, Turkije, Iran en Frankrijk. Het lek, CVE-2026-59310, is een directory traversal-kwetsbaarheid. Een aanvaller die via het netwerk toegang heeft tot een kwetsbare vCenter Syslog Server kan het lek zonder authenticatie misbruiken om willekeurige code uit te voeren.
VMware vCenter wordt gebruikt als centraal beheerpunt voor virtuele infrastructuur, zoals virtuele machines, servers, configuraties en toegangsrechten. Een succesvolle aanval kan daardoor toegang geven tot een groot deel van de IT-omgeving van een organisatie.
Meteen updaten
Broadcom biedt geen tijdelijke oplossing voor de kwetsbaarheid. Beheerders moeten daarom zo snel mogelijk naar een gepatchte versie upgraden. Het gaat om vCenter 9.1.0.0300, vCenter 9.0.2.0100 en vCenter 8.0 U3k of 8.0 U2f.
QUIRSO denkt dat achter de aanvallen een geavanceerde hackersgroep zit, maar heeft daarvoor nog geen bewijs gepubliceerd. Het bedrijf houdt specifieke indicatoren van de aanvallen nog achter vanwege overleg met politiediensten en belooft later met een uitgebreider technisch rapport te komen.