CISA предупреждает: уязвимость VMware vCenter используется в атаках вымогателей
Материал подготовлен искусственным интеллектом на основе нескольких источников — ссылки на оригиналы приведены ниже.
CISA 14 сентября предупредила, что уязвимость обхода каталога в VMware vCenter, исправленная 29 июля, теперь используется группами вымогателей. Уязвимость CVE-2026-59310 с оценкой CVSS 9,8 прошла путь от патча до развёртывания вымогателей примерно за семь недель. Исследователи безопасности отмечают, что сжатые сроки указывают на использование ИИ при разработке эксплойтов и требуют немедленной установки обновлений.
Ключевые факты
- CISA 14 сентября предупредила, что уязвимость CVE-2026-59310 в VMware vCenter с оценкой CVSS 9,8 активно используется вымогателями.
- Broadcom выпустила патч 29 июля, а Quirso подтвердила активную эксплуатацию к 3 августа.
- Операторы вымогателей развёртывают полезные нагрузки на основе Babuk для шифрования виртуальных машин ESXi.
- Ранняя активность включала обратные SSH-туннели для закрепления и скрытого доступа в 47 странах.
- Исследователи Джон Стрэнд и Денис Кальдероне считают, что сроки — пять дней от патча до эксплойта и шесть недель до вымогателей — указывают на использование ИИ при разработке эксплойтов.
Хронология эксплуатации
Broadcom выпустила патч для CVE-2026-59310 29 июля. Quirso подтвердила активную эксплуатацию к 3 августа, через пять дней после патча. CISA добавила уязвимость в каталог известных эксплуатируемых уязвимостей несколько дней спустя. Развёртывание вымогателей началось примерно через шесть недель после эксплуатации, в середине сентября.
Методы атак
Ранняя активность включала обратные SSH-туннели для закрепления и скрытого доступа в 47 странах. Операторы вымогателей завершают цепочку атак полезными нагрузками на основе Babuk, шифрующими виртуальные машины ESXi. Уязвимость не требует аутентификации, но злоумышленнику нужен сетевой доступ к затронутым сервисам vCenter. Лидия Чжан из Ridge Security рекомендует ограничить управляющие интерфейсы доверенными сетями и административными jump-хостами.
Реагирование безопасности
Джон Стрэнд из Black Hills Information Security заявляет, что инцидент «кричит» о разработке эксплойтов с помощью ИИ. Стрэнд призывает организации повысить терпимость к немедленной установке патчей, минуя традиционные этапы тестирования. Он также советует размещать сервисы, доступные только сотрудникам, за VPN, Cloudflare или другими технологиями частного доступа. Денис Кальдероне из Suzu Labs предупреждает, что организации, откладывающие установку патчей до следующего цикла обслуживания, попадают в сжатое окно.
2 источника
Время · отставание