Broadcom VMware vCenter — Explotación Activa de Vulnerabilidad de Salto de Directorio y Ejecución Remota de Código (CVE-2026-59310)

Fecha de publicación: 12 de agosto de 2026
Categoría: Threat Intelligence / Vulnerability Analysis

Introducción

Investigaciones recientes publicadas por la firma de ciberseguridad QUIRSO han encendido las alarmas tras descubrir la explotación activa en la naturaleza de una vulnerabilidad crítica recientemente parcheada en Broadcom VMware vCenter, identificada como CVE-2026-59310. Los atacantes están aprovechando esta falla para lograr acceso remoto persistente en infraestructuras corporativas críticas a escala global. Adicionalmente, organizaciones de seguridad han detectado un repunte simultáneo en actividades de sondeo y escaneo de versiones apuntando hacia una segunda vulnerabilidad crítica de bypass de autenticación, CVE-2026-59309. Este escenario evidencia una campaña coordinada o de oportunidad por parte de grupos de amenaza persistente avanzada (APT) enfocada en explotar appliances de virtualización altamente privilegiados.

¿Qué es VMware vCenter y las Vulnerabilidades Afectadas? (Análisis General)

VMware vCenter Server es la plataforma central de administración y gestión para entornos virtualizados VMware vSphere, permitiendo controlar de forma centralizada múltiples hosts ESXi, máquinas virtuales y recursos de almacenamiento desde una única interfaz unificada. Dada su posición crítica en la infraestructura de redes empresariales, el compromiso de un servidor vCenter otorga a un actor malicioso control total sobre la infraestructura virtual subyacente.

Las fallas analizadas en este ciclo de amenazas corresponden a:

  • CVE-2026-59310 (Dato Confirmado NVD): Vulnerabilidad de salto de directorio (directory traversal) en el servidor Syslog de VMware vCenter. Permite a un actor malicioso con acceso de red ejecutar código arbitrario en el sistema afectado. Posee una puntuación CVSS v3.1 de 9.8 (CRITICAL) y un vector oficial CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Está clasificada bajo el identificador CWE-22 y forma parte del catálogo CISA KEV (Known Exploited Vulnerabilities).
  • CVE-2026-59309 (Dato Confirmado NVD): Vulnerabilidad de elusión de autenticación (authentication bypass) en el servicio de directorios de VMware (vmdir). Permite a un actor con acceso de red eludir los mecanismos de autenticación y obtener acceso no autorizado al sistema. Posee una puntuación CVSS v3.1 de 9.8 (CRITICAL) con un vector oficial CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H y está clasificada bajo la debilidad CWE-303 (Incorrect Implementation of Identification/Authentication Algorithm).

¿Cómo funciona? (Análisis Técnico)

La cadena de ataque analizada por los investigadores forenses revela una serie de etapas tácticas muy definidas orientadas a consolidar el control sobre el appliance vulnerado:

  • Flujo inicial de infección / entrada del exploit: El atacante aprovecha el fallo de salto de directorio (CVE-2026-59310) en el componente Syslog del servidor vCenter para manipular rutas de archivos sin necesidad de autenticación previa (PR:N, UI:N, AV:N). Esto facilita la escritura o ejecución indirecta de cargas maliciosas aprovechando debilidades en la validación de entradas de la ruta.
  • Mecanismos de persistencia y ejecución de código: Tras el acceso inicial, la evidencia forense demostró el despliegue de tareas programadas maliciosas de tipo cron job. Estas tareas invocan la herramienta de código abierto reverse_ssh, diseñada para establecer conexiones de túnel SSH salientes hacia la infraestructura controlada por el atacante.
  • Evasión de controles perimetrales mediante conexiones salientes: El uso de reverse_ssh constituye un vector de persistencia altamente efectivo. Al iniciar conexiones salientes (outbound) desde el appliance comprometido hacia el exterior, los agresores logran eludir contramedidas perimetrales tradicionales orientadas a bloquear solicitudes entrantes sospechosas hacia la red interna.
  • Sondeo y reconocimiento paralelo (CVE-2026-59309): En paralelo a la explotación confirmada del vector Syslog, otras firmas de seguridad han registrado escaneos automatizados y pruebas de huella digital (fingerprinting) realizando peticiones POST contra /sdk/ (RetrieveServiceContent) y recorridos del flujo SAML SSO (/websso), apuntando a la potencial explotación masiva del fallo de bypass de autenticación en vmdir.

Sistemas / Entornos Afectados

Las vulnerabilidades impactan múltiples versiones de VMware vCenter Server que no hayan aplicado los boletines de seguridad emitidos por Broadcom a finales de julio de 2026 (VMSA-2026-0006).

CVE Categoría (CWE) Impacto CVSS Vector (resumido)
CVE-2026-59310 CWE-22 (Path Traversal) Ejecución de Código Arbitrario / Acceso Total 9.8 (CRITICAL) AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVE-2026-59309 CWE-303 (Auth Bypass) Elusión de Autenticación / Acceso No Autorizado 9.8 (CRITICAL) AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Se han identificado cientos de direcciones IP de víctimas distribuidas en más de 45 países, con una mayor concentración de hosts afectados en jurisdicciones como Alemania, Estados Unidos, Turquía, Irán y Francia.

Mitigación y Detección

Remediación

  • Aplicación de parches oficiales: Aplicar de manera inmediata las actualizaciones y boletines de seguridad proporcionados por Broadcom (VMSA-2026-0006) que corrigen los fallos en vCenter Server.
  • Segmentación de red: Aislar los appliances de administración vCenter en segmentos de red estrictamente controlados (management planes), restringiendo el acceso de red externo y limitando el tráfico únicamente a administradores autorizados mediante VPNs seguras y multifactor (MFA).

Detección

  • Monitoreo de conexiones salientes anómalas: Buscar activamente procesos hijos ejecutando herramientas de tunelización como reverse_ssh o conexiones salientes hacia puertos SSH no estándar desde servidores vCenter.
  • Análisis forense de registros: Revisar bitácoras en búsqueda de solicitudes HTTP inusuales dirigidas a los endpoints /sdk/ o anomalías en el servicio Syslog que sugieran intentos de salto de ruta.

“La presencia de herramientas como reverse_ssh combinada con instalaciones no autorizadas o conexiones salientes inesperadas en un appliance vCenter constituye un indicador de alto compromiso que requiere investigación forense inmediata.”

bash 
# Ejemplo conceptual de regla para la búsqueda de procesos sospechosos de reverse_ssh en hosts Linux/vCenter
ps aux | grep -E "reverse_ssh|ssh.*-R.*:"

Recapitulando

La rápida explotación de la vulnerabilidad CVE-2026-59310 en VMware vCenter, ocurrida apenas días después de su divulgación pública, demuestra la velocidad con la que actores maliciosos operacionalizan fallas críticas en software de infraestructura de red. La combinación de saltos de directorio para ejecución de código y el uso de túneles SSH salientes para mantener persistencia subraya la necesidad urgente de mantener una postura de gestión de parches rigurosa y un monitoreo defensivo continuo en los entornos virtuales empresariales.

Referencias