La infraestructura de virtualización global se encuentra bajo una nueva y severa amenaza. Recientes informes de inteligencia han confirmado que diversos actores de amenazas están explotando activamente una vulnerabilidad crítica en Broadcom VMware vCenter, identificada como CVE-2026-59310, apenas unos días después de que se hicieran públicos los parches de seguridad.
¿Qué es la vulnerabilidad CVE-2026-59310?
Esta vulnerabilidad ha recibido una puntuación CVSS de 9.8 sobre 10, lo que la clasifica como de severidad crítica. Se trata de un fallo de directory traversal (salto de directorio) en el servidor VMware vCenter. Un atacante con acceso a la red puede explotar este error para ejecutar código arbitrario de forma remota (RCE), permitiéndole tomar el control total del sistema afectado sin necesidad de credenciales previas.
Mecánica del ataque: Persistencia y Evasión
Según los hallazgos de la firma de ciberseguridad QUIRSO, los atacantes no solo están logrando el acceso inicial, sino que están implementando técnicas avanzadas para mantener su presencia en las redes comprometidas:
- Tareas programadas (Cron Jobs): Tras la explotación inicial, los atacantes despliegan cron jobs maliciosos para asegurar que su acceso se mantenga incluso después de reiniciar los sistemas.
- Uso de reverse_ssh: Se ha detectado el uso de la herramienta de código abierto reverse_ssh. Esta técnica es especialmente peligrosa porque establece una conexión de salida desde el servidor hacia la infraestructura del atacante, lo que permite eludir los controles de seguridad perimetrales diseñados habitualmente para bloquear solicitudes entrantes sospechosas.
Impacto Global y Atribución
Hasta la fecha, se han identificado al menos 361 direcciones IP de víctimas únicas distribuidas en 47 países. Entre las naciones más afectadas se encuentran Alemania, Estados Unidos, Turquía, Irán y Francia. Aunque la autoría exacta aún no ha sido confirmada, el modus operandi sugiere la participación de grupos de Amenazas Persistentes Avanzadas (APT), conocidos por realizar campañas de espionaje industrial y gubernamental.
Históricamente, las plataformas de VMware han sido objetivos prioritarios para grupos de ciberespionaje, debido a que vCenter actúa como el «cerebro» de la infraestructura virtual de una empresa, gestionando múltiples servidores y máquinas virtuales que contienen datos críticos.
Recomendaciones para la Continuidad del Negocio
Desde el blog de Intedya, instamos a los responsables de TI y CISO a tomar las siguientes medidas de forma inmediata:
- Actualización Urgente: Aplicar los parches de seguridad emitidos por Broadcom para VMware vCenter. La correlación entre la divulgación de la vulnerabilidad y el inicio de los ataques demuestra que los ciberdelincuentes actúan con extrema rapidez.
- Auditoría de Sistemas: Investigar la presencia de herramientas no autorizadas como reverse_ssh o conexiones salientes inesperadas desde sus servidores vCenter.
- Monitoreo de Red: Reforzar el monitoreo de los flujos de red, prestando especial atención a cualquier intento de acceso a rutas de archivos inusuales dentro de las aplicaciones de gestión de virtualización.
La ciberseguridad no es un estado estático, sino un proceso de vigilancia continua. Mantener sus sistemas actualizados es la primera línea de defensa para proteger la integridad y la confidencialidad de su organización.
Fuentes
- The Hacker News — Attackers Exploit VMware vCenter Vulnerability to Gain Persistent Remote Access
https://thehackernews.com/2026/08/attackers-exploit-vmware-vcenter.html