Administratorzy środowisk VMware mają kolejny poważny powód, aby sprawdzić stan aktualizacji infrastruktury. Krytyczna podatność CVE-2026-59310 w VMware vCenter Server jest już aktywnie wykorzystywana w rzeczywistych atakach, a amerykańska CISA oznaczyła ją również jako lukę używaną przez operatorów ransomware. Problem jest szczególnie niebezpieczny, ponieważ atakujący znajdujący się w zasięgu sieciowym podatnego vCenter nie potrzebuje wcześniej utworzonego konta ani poprawnych danych logowania, aby wykorzystać błąd prowadzący do zdalnego wykonania kodu. Broadcom ocenił podatność na maksymalne 9,8 punktu w skali CVSS i już pod koniec lipca opublikował poprawki. Mimo to podatne systemy nadal pozostają dostępne w internecie, a kampanie wykorzystujące lukę zaczęły pojawiać się wkrótce po publikacji aktualizacji. Dla organizacji korzystających z VMware sprawa jest szczególnie poważna, ponieważ vCenter nie jest zwykłym serwerem aplikacyjnym. To centralny element zarządzania infrastrukturą wirtualną, dlatego jego przejęcie może otworzyć drogę do znacznie szerszego ataku na środowisko przedsiębiorstwa.
Czym jest luka CVE-2026-59310 w VMware vCenter i dlaczego otrzymała ocenę 9,8?
CVE-2026-59310 to podatność typu directory traversal znajdująca się w komponencie Syslog Server platformy VMware vCenter. Broadcom poinformował o niej 29 lipca 2026 roku w biuletynie bezpieczeństwa VMSA-2026-0006. Producent sklasyfikował problem jako krytyczny i przyznał mu maksymalną ocenę CVSS 9,8. Najważniejsze z punktu widzenia administratorów jest to, że atak nie wymaga wcześniejszego uwierzytelnienia. Osoba mająca dostęp sieciowy do podatnej usługi może doprowadzić do wykonania dowolnego kodu na serwerze vCenter. Oznacza to zupełnie inny poziom ryzyka niż w przypadku błędu wymagającego konta administratora czy wcześniejszego przejęcia użytkownika. Atakujący może próbować wykorzystać podatność jako początkowy punkt wejścia do infrastruktury, jeśli tylko podatny system jest osiągalny z miejsca, z którego prowadzony jest atak.
W tym samym biuletynie Broadcom opisał również CVE-2026-59309, czyli osobną krytyczną lukę pozwalającą ominąć uwierzytelnianie w VMware Directory Service. Obie podatności otrzymały ocenę 9,8 i zostały załatane w tych samych aktualizacjach. W przypadku CVE-2026-59310 producent wyraźnie zaznacza, że nie istnieje obejście pozwalające bezpiecznie pozostawić podatną wersję bez aktualizacji. To bardzo ważna informacja dla organizacji, które często odkładają aktualizacje vCenter ze względu na obawy dotyczące kompatybilności lub przerw serwisowych. Tutaj ograniczenie dostępu sieciowego może zmniejszyć powierzchnię ataku, ale nie zastępuje usunięcia samego błędu. Broadcom rekomenduje zainstalowanie wersji zawierających poprawkę, a w przypadku starszych gałęzi wspieranych tylko w ramach rozszerzonego wsparcia konieczny może być kontakt z producentem.
Czy ransomware rzeczywiście wykorzystuje już lukę w VMware vCenter?
CISA potwierdziła we wrześniu 2026 roku, że CVE-2026-59310 jest wykorzystywana nie tylko w zwykłych włamaniach, ale także przez operatorów ransomware. Podatność została wcześniej dodana do katalogu Known Exploited Vulnerabilities, czyli zestawienia błędów, dla których istnieją dowody aktywnego wykorzystywania w rzeczywistych atakach. Amerykańskie agencje federalne otrzymały polecenie bardzo szybkiego zabezpieczenia podatnych systemów. Początkowo obserwowano przede wszystkim wykorzystanie luki do uzyskania zdalnego dostępu i utrzymania obecności w zainfekowanej infrastrukturze. Niedługo później CISA zaktualizowała informacje o podatności, oznaczając ją również jako powiązaną z aktywnością ransomware.
Na razie publicznie dostępne informacje nie wskazują jednej konkretnej grupy ransomware odpowiedzialnej za wszystkie ataki wykorzystujące CVE-2026-59310. Sam fakt pojawienia się podatności w arsenale cyberprzestępców jest jednak bardzo poważnym sygnałem. VMware od lat pozostaje atrakcyjnym celem dla grup wymuszających okup, ponieważ wiele dużych przedsiębiorstw uruchamia na platformach vSphere znaczną część swoich systemów biznesowych. Przejęcie dostępu do infrastruktury wirtualnej może pozwolić napastnikom uderzyć jednocześnie w dużą liczbę maszyn, zamiast infekować każdy serwer osobno. Grupy ransomware od dawna rozwijają narzędzia przeznaczone specjalnie do szyfrowania maszyn VMware ESXi, dlatego zdobycie dostępu do centralnych elementów zarządzających środowiskiem jest dla nich szczególnie wartościowe.
Jak szybko po ujawnieniu CVE-2026-59310 rozpoczęły się rzeczywiste ataki?
Tempo wykorzystania podatności pokazuje, jak bardzo skrócił się obecnie czas między publikacją poprawki a rozpoczęciem masowych prób włamań. Broadcom opublikował biuletyn i pierwsze aktualizacje 29 lipca 2026 roku. Według późniejszych analiz aktywne wykorzystywanie CVE-2026-59310 zaobserwowano już 3 sierpnia. Oznacza to, że organizacje miały zaledwie kilka dni, zanim podatność przestała być jedynie problemem teoretycznym. Następnie firmy zajmujące się reagowaniem na incydenty zaczęły identyfikować systemy, na których po wykorzystaniu błędu instalowano narzędzia umożliwiające utrzymanie zdalnego dostępu. W połowie sierpnia CISA umieściła lukę w katalogu KEV i nakazała instytucjom federalnym jej pilne usunięcie.
Firma QUIRSO zajmująca się cyfrową analizą incydentów informowała o ponad 361 adresach IP w 47 krajach, na których wykryto ślady kompromitacji związanej z kampanią wykorzystującą podatność. Atakujący stosowali narzędzie zapewniające zdalny dostęp i możliwość utrzymania obecności w systemie. Skala obserwacji nie oznacza automatycznie, że wszystkie wskazane organizacje padły ofiarą ransomware, ale pokazuje, że luka została bardzo szybko wykorzystana na dużą skalę. To ważna lekcja dla administratorów infrastruktury krytycznej i środowisk wirtualnych: w przypadku błędu ocenionego na 9,8 okres przeznaczony na analizowanie, czy warto instalować poprawkę, może być liczony raczej w dniach niż tygodniach.
Dlaczego przejęcie VMware vCenter jest tak niebezpieczne dla całej infrastruktury firmy?
vCenter pełni rolę centralnego punktu zarządzania środowiskiem VMware vSphere. Administrator może za jego pomocą kontrolować hosty ESXi, maszyny wirtualne, uprawnienia, sieci, magazyny danych i wiele innych elementów infrastruktury. Z biznesowego punktu widzenia oznacza to wygodę zarządzania dużym środowiskiem z jednego miejsca. Z punktu widzenia cyberprzestępcy oznacza natomiast bardzo atrakcyjny cel. Uzyskanie dostępu do centralnego systemu zarządzania może dać znacznie większe możliwości niż włamanie na pojedynczy serwer aplikacyjny. Atakujący może próbować wykorzystać uzyskany dostęp jako punkt do dalszego przemieszczania się po infrastrukturze, zdobywania dodatkowych poświadczeń oraz poszerzania kontroli nad środowiskiem.
W przypadku ransomware jest to wyjątkowo niebezpieczne, ponieważ organizacje często konsolidują na niewielkiej liczbie fizycznych hostów dziesiątki lub setki maszyn wirtualnych. Mogą znajdować się tam serwery baz danych, systemy ERP, usługi katalogowe, aplikacje firmowe i inne zasoby niezbędne do działania przedsiębiorstwa. Jeżeli napastnik uzyska możliwość oddziaływania na warstwę wirtualizacji, skutki incydentu mogą objąć wiele usług jednocześnie. Dlatego systemy zarządzania infrastrukturą powinny być traktowane jak zasoby uprzywilejowane najwyższego poziomu, podobnie jak kontrolery domeny czy systemy zarządzania kopiami zapasowymi. Ich interfejsów administracyjnych nie powinno się niepotrzebnie wystawiać do internetu, a dostęp powinien pochodzić wyłącznie z wydzielonych sieci zarządzających.
Które wersje VMware vCenter trzeba zaktualizować z powodu CVE-2026-59310?
Broadcom wskazuje, że podatne są między innymi gałęzie VMware vCenter 8.0 oraz odpowiednie wydania vCenter wykorzystywane w VMware Cloud Foundation i VMware vSphere Foundation. Dla vCenter 8.0 producent udostępnił poprawione wersje 8.0 U3k i 8.0 U2f. Dla linii 9.0 poprawka znajduje się między innymi w wersji 9.0.2.0100. Broadcom zaznacza również, że poprawki są kumulacyjne, dlatego nowsze wydania zawierające odpowiednią aktualizację również zabezpieczają system przed CVE-2026-59310. W środowiskach korporacyjnych nie należy więc ograniczać się do sprawdzenia głównego numeru wersji. Konieczne jest zweryfikowanie dokładnego poziomu aktualizacji konkretnego appliance vCenter.
Sytuacja jest bardziej skomplikowana w przypadku VMware vCenter 7.0. Broadcom informuje, że organizacje posiadające kontrakt na rozszerzone wsparcie powinny skontaktować się z producentem w sprawie właściwej poprawki. Ta wersja znajduje się już poza standardowym cyklem wsparcia, co dodatkowo pokazuje ryzyko pozostawania przez długi czas na starszych platformach. Administratorzy VMware Cloud Foundation i środowisk korzystających z bardziej złożonych ścieżek aktualizacji powinni również sprawdzić wpływ nowych poprawek na planowane migracje. Broadcom opublikował osobne informacje dotyczące konsekwencji przejścia na vCenter 8.0 U3k i zgodności z kolejnymi wydaniami platformy.
Czy istnieje obejście CVE-2026-59310 bez instalowania aktualizacji VMware?
Broadcom odpowiada na to pytanie jednoznacznie: dla CVE-2026-59310 nie udostępniono oficjalnego workaroundu. W tabeli bezpieczeństwa przy podatności znajduje się informacja „None”, a rozwiązaniem wskazanym przez producenta jest instalacja poprawionej wersji. Oznacza to, że organizacja nie powinna zakładać, iż samo wyłączenie części funkcji, zmiana konfiguracji czy zastosowanie reguły na zaporze rozwiązuje problem. Ograniczenie dostępu do vCenter jest nadal bardzo ważnym elementem ochrony i może utrudnić wykorzystanie błędu, ale nie usuwa podatności z systemu. Jeżeli atakujący znajdzie się później w sieci wewnętrznej, niezałatany serwer ponownie stanie się potencjalnym celem.
Z tego powodu priorytetem powinno być ustalenie dokładnej wersji wszystkich instancji vCenter i zaplanowanie aktualizacji w możliwie najkrótszym czasie. Organizacje powinny jednocześnie sprawdzić, czy serwer nie był wcześniej osiągalny z niezaufanych segmentów sieci oraz czy w okresie od początku sierpnia nie pojawiły się nietypowe zdarzenia. Samo zainstalowanie poprawki zabezpiecza przed kolejnym wykorzystaniem podatności, ale nie usuwa skutków wcześniejszego włamania. Jeżeli istnieje podejrzenie kompromitacji, potrzebna jest analiza incydentu, sprawdzenie logów, kont uprzywilejowanych, zmian konfiguracji i innych śladów wskazujących na utrzymanie dostępu przez atakującego.
Jak firmy powinny zabezpieczyć VMware vCenter przed ransomware po ujawnieniu krytycznej luki?
Pierwszym krokiem jest instalacja poprawki, ponieważ producent nie przewidział skutecznego obejścia problemu. Drugim powinno być ograniczenie powierzchni ataku. Interfejsy administracyjne vCenter nie powinny być publicznie dostępne, jeśli nie istnieje jednoznaczna potrzeba biznesowa. Dostęp najlepiej ograniczyć do wyznaczonych sieci administracyjnych oraz odpowiednio zabezpieczonych punktów dostępowych. Warto również rozdzielić zwykłą sieć użytkowników od infrastruktury zarządzającej wirtualizacją. Taka segmentacja nie zastąpi aktualizacji, ale ogranicza możliwość dotarcia do vCenter po przejęciu pojedynczego komputera pracownika czy serwera znajdującego się w innym segmencie.
Równie ważne są kopie zapasowe i procedury odtwarzania. Ransomware uderzające w środowisko wirtualne może doprowadzić do jednoczesnej niedostępności wielu krytycznych systemów, dlatego backupy muszą być odseparowane od głównej infrastruktury i odporne na usunięcie lub zaszyfrowanie przez napastnika. Należy także regularnie testować możliwość ich odtworzenia, ponieważ sama obecność plików backupu nie gwarantuje skutecznego przywrócenia działania przedsiębiorstwa. Konta administracyjne związane z VMware powinny korzystać z możliwie silnych mechanizmów uwierzytelniania, a ich użycie powinno być monitorowane. Połączenie szybkiego patchowania, segmentacji, ograniczenia dostępu i sprawdzonych kopii zapasowych jest znacznie skuteczniejszą strategią niż poleganie wyłącznie na jednym zabezpieczeniu.
Po czym rozpoznać, że serwer VMware vCenter mógł zostać wcześniej przejęty?
Szczególną uwagę powinny zachować organizacje, które zainstalowały poprawkę dopiero po informacji o aktywnym wykorzystywaniu podatności. Kampania rozpoczęła się bardzo szybko po publikacji biuletynu Broadcom, dlatego system podatny przez pierwsze tygodnie sierpnia mógł być narażony na atak jeszcze zanim administratorzy dowiedzieli się o skali problemu. W takich przypadkach nie należy przyjmować, że aktualizacja kończy temat. Administratorzy powinni przeanalizować nietypowe połączenia sieciowe, nieznane procesy, zmiany konfiguracji, nowe konta, anomalie w logach oraz ślady nieautoryzowanego dostępu. Szczególnie ważne jest sprawdzenie zdarzeń z okresu poprzedzającego aktualizację.
Jeżeli istnieją wiarygodne przesłanki wskazujące na wcześniejsze przejęcie vCenter, problem trzeba potraktować jak incydent obejmujący potencjalnie szerszą infrastrukturę, a nie pojedynczy serwer. Napastnik mógł wykorzystać początkowy dostęp do zdobycia dodatkowych uprawnień albo pozostawienia mechanizmu zapewniającego powrót nawet po załataniu podatności. W przypadku ważnych środowisk warto więc uruchomić pełną procedurę reagowania na incydent i ustalić zasięg kompromitacji, zanim system zostanie uznany za bezpieczny. Najnowsza kampania pokazuje przy tym szerszy problem: ransomware coraz częściej nie zaczyna się od załącznika wysłanego pracownikowi, lecz od wykorzystania krytycznej podatności w urządzeniu lub systemie zarządzającym wystawionym do sieci.
Dlaczego ataki na VMware są tak atrakcyjne dla współczesnych grup ransomware?
Wirtualizacja pozwoliła przedsiębiorstwom skonsolidować ogromną liczbę systemów na wspólnej infrastrukturze, ale jednocześnie stworzyła bardzo wartościowe cele dla cyberprzestępców. Zamiast szyfrować pojedyncze komputery końcowe, grupa ransomware może próbować dotrzeć do warstwy, na której uruchamiane są całe grupy serwerów. Dlatego VMware ESXi, vCenter i podobne platformy od kilku lat regularnie pojawiają się w kampaniach ransomware. CISA odnotowała w ostatnich latach wiele aktywnie wykorzystywanych podatności związanych z technologiami VMware, a część z nich została później powiązana bezpośrednio z operacjami wymuszającymi okup.
CVE-2026-59310 jest szczególnie atrakcyjna, ponieważ łączy kilka niebezpiecznych cech: krytyczną ocenę 9,8, możliwość zdalnego wykorzystania, brak wymogu posiadania wcześniejszego konta oraz dostęp do systemu znajdującego się w centrum infrastruktury przedsiębiorstwa. Dodatkowo Broadcom nie udostępnił obejścia, dlatego każda organizacja pozostająca na podatnej wersji musi przeprowadzić aktualizację. Incydent przypomina, że zarządzanie poprawkami infrastruktury wirtualnej nie powinno być traktowane jak zwykła administracyjna konserwacja. W środowisku, w którym grupy ransomware potrafią rozpocząć wykorzystywanie nowych luk zaledwie kilka dni po ich ujawnieniu, szybkość instalowania krytycznych aktualizacji staje się jednym z podstawowych elementów odporności całej firmy.
