Una falla aperta da due mesi
Cosa serve per prendere il controllo di un intero data center virtuale? Nel caso di VMware vCenter, negli ultimi mesi è bastata una singola vulnerabilità. Si chiama CVE-2026-59310, ha un punteggio di gravità di 9,8 su 10 ed è una falla di directory traversal nel servizio Syslog di vCenter: permette a chi la sfrutta, anche senza credenziali, di eseguire codice arbitrario sul server. Broadcom l'ha corretta il 29 luglio, con un avviso che invitava i clienti a trattare l'aggiornamento come un'emergenza.
Prima lo spionaggio, ora il ransomware
Due settimane dopo la patch, la società di incident response QUIRSO ha individuato oltre 361 indirizzi IP in 47 paesi già compromessi, con un attore riconducibile a un gruppo di spionaggio avanzato che installava un tool di reverse SSH per mantenere l'accesso nel tempo. Il pattern è quello classico: chi scopre per primo una falla del genere la usa con calma, per restare dentro senza farsi notare. A metà agosto CISA ha aggiunto la vulnerabilità al suo catalogo delle falle sfruttate attivamente, dando alle agenzie federali americane tre giorni per mettere in sicurezza i sistemi. Nel weekend appena trascorso, lo stesso catalogo è stato aggiornato per segnalare che ora la vulnerabilità viene usata anche da gruppi ransomware: CISA non ha ancora reso pubblico quali bande e con quali dettagli.
Quanti server sono ancora scoperti
Secondo Shadowserver, più di 450 istanze di vCenter risultano ancora raggiungibili da internet, e non c'è modo di sapere quante di queste abbiano già installato la patch. Non è un dettaglio da poco: vCenter non è un servizio qualsiasi, è la console che gestisce macchine virtuali, storage e rete di un'azienda. Chi lo controlla, in pratica, controlla tutto quello che gira sopra. Negli ultimi cinque anni CISA ha classificato 26 vulnerabilità VMware come sfruttate attivamente, e 9 di queste sono finite anche nelle mani di gruppi ransomware: la sequenza spionaggio-poi-ransomware, per questo prodotto, si ripete con una certa regolarità.
💬 Il mio commento
Due mesi tra la patch di Broadcom e l'ingresso nel catalogo ransomware di CISA sono un'enormità per chi attacca, ma non mi stupisce: vCenter è uno di quei sistemi che in tante aziende nessuno vuole toccare senza una finestra di manutenzione, un piano di rollback e il via libera di tre reparti diversi. Il problema qui non è la disponibilità della patch, che c'è da fine luglio, ma il fatto che fermare la console che gestisce macchine virtuali, storage e rete di un'intera azienda fa più paura dell'idea di lasciarla esposta qualche settimana in più.
La sequenza spionaggio-poi-ransomware che raccontano CISA e Shadowserver la vedo ripetersi quasi identica ogni volta che una falla di questo calibro resta sfruttabile a lungo: prima chi vuole restare nascosto e raccogliere informazioni con calma, poi chi è interessato solo a incassare in fretta. Con oltre 450 vCenter ancora raggiungibili da internet e nessun dato su quanti abbiano già la patch, se gestite un'infrastruttura VMware e non siete certi che l'aggiornamento sia arrivato ovunque, è uno dei controlli che faccio volentieri per un cliente prima che lo trovi qualcun altro al posto vostro.