Broadcom VMware vCenter Server · Ejecución remota de código sin autenticación

Una vulnerabilidad crítica en VMware vCenter Server —la consola central desde la que las organizaciones administran sus servidores virtualizados— está siendo explotada de forma activa en internet para tomar el control de la infraestructura e instalar un acceso remoto persistente. El fabricante, Broadcom, ya ha publicado correcciones y advierte de que no existe solución alternativa: la única defensa eficaz es actualizar cuanto antes.

Descripción

Qué es y a quién afecta

VMware vCenter Server es el software que permite gestionar de forma centralizada muchos servidores virtuales a la vez (lo que se conoce como virtualización: ejecutar varios «ordenadores» lógicos dentro de una misma máquina física). Suele distribuirse como un appliance, es decir, una máquina virtual ya preparada con su propio sistema operativo. Quien controla vCenter controla, en la práctica, buena parte del centro de datos: por eso es un objetivo especialmente valioso.

La vulnerabilidad CVE-2026-59310 reside en el componente Syslog server de vCenter (el servicio que recoge y almacena los registros o logs del sistema). Se trata de un fallo de salto de directorios o path traversal (categoría CWE-22): un defecto que permite manipular rutas de ficheros para acceder a ubicaciones del sistema que no deberían estar al alcance del atacante. Encadenando esa manipulación, un atacante con acceso de red y sin necesidad de autenticarse puede llegar a ejecutar comandos en el appliance (lo que se denomina ejecución remota de código o RCE).

Según el aviso de Broadcom (VMSA-2026-0006) y el análisis de Rapid7, están afectadas las ramas 8.0, 9.0 y 9.1 de vCenter Server, tanto en instalaciones independientes como dentro de VMware Cloud Foundation, vSphere Foundation y las plataformas Telco Cloud. El riesgo se dispara cuando la consola de vCenter queda accesible desde internet, un escenario que los atacantes han aprovechado con rapidez.

En el mismo paquete de actualizaciones se corrige además CVE-2026-59309, un fallo de omisión de autenticación en el servicio de directorio de vCenter, también calificado como crítico (CVSS 9,8). Por ahora no consta que este segundo fallo se esté explotando de forma activa.

Mecánica

Cómo funciona el ataque

La gravedad se mide con el estándar CVSS (una escala de 0 a 10 que puntúa lo peligroso que es un fallo). CVE-2026-59310 tiene un CVSS 9,8, un nivel reservado para defectos que permiten un compromiso completo sin apenas obstáculos. Su vector (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) refleja justamente eso: explotable a través de la red, de baja complejidad, sin privilegios previos ni interacción de la víctima.

El ataque observado sigue este patrón:

1. El atacante localiza una instancia de vCenter accesible desde internet y, aprovechando el salto de directorios en el Syslog server, consigue ejecutar comandos en el appliance sin autenticarse.
2. No se limita a lanzar un comando y marcharse: instala persistencia, es decir, mecanismos para conservar el acceso aunque el sistema se reinicie. Según los informes, se emplea una tarea programada maliciosa (cron, el planificador de tareas de los sistemas tipo Unix).
3. Despliega la herramienta de código abierto reverse_ssh, que abre un canal de control estable. Su particularidad es que establece conexiones salientes hacia la infraestructura del atacante; así puede sortear defensas pensadas para bloquear accesos entrantes, que suelen vigilar menos el tráfico que sale hacia internet.

La empresa de respuesta a incidentes QUIRSO, que detectó la campaña al observar sistemas comprometidos conectándose a infraestructura controlada por los atacantes, cifró en 361 direcciones IP víctimas en 47 países el alcance a 7 de agosto de 2026, con mayor concentración en Alemania, Estados Unidos, Turquía, Irán y Francia. QUIRSO sospecha de un actor avanzado (APT), pero reconoce que no ha publicado pruebas de esa atribución. Algunos blogs secundarios de menor autoridad hablan de uso con ransomware; ni Broadcom ni CISA ni el análisis técnico primario lo confirman, por lo que conviene tomarlo con cautela.

Respuesta del creador

Respuesta del fabricante y de las autoridades

Broadcom (propietaria de VMware) publicó el aviso VMSA-2026-0006 el 29 de julio de 2026, posteriormente actualizado (revisiones .1 y .2), con las correcciones para ambos fallos de vCenter. En su documento de preguntas y respuestas, Broadcom es tajante: no hay soluciones alternativas para CVE-2026-59309 ni CVE-2026-59310, de modo que los parches del fabricante son la medida principal. En la fecha del aviso, Broadcom declaró no tener información que sugiriera explotación en la naturaleza; la actividad maliciosa se detectó después.

La agencia estadounidense de ciberseguridad CISA incluyó CVE-2026-59310 en su catálogo de vulnerabilidades explotadas conocidas (Known Exploited Vulnerabilities, KEV) el 18 de agosto de 2026, «sobre la base de evidencias de explotación activa», y fijó el 21 de agosto como fecha límite de corrección para las agencias federales. Esta inclusión en el KEV es la confirmación oficial de que el fallo se está explotando.

Desde la óptica jurídica, si una organización española o europea detecta que su vCenter ha sido comprometido y hay datos personales implicados, el RGPD obliga a valorar la notificación a la autoridad de control (en España, la AEPD) en un plazo de 72 horas desde que se tiene conocimiento de la brecha, y a comunicar a los afectados cuando exista alto riesgo para sus derechos.

Parches y mitigaciones

Parches y qué hacer ya

La prioridad es actualizar vCenter sin demora a una versión corregida. Según el aviso de Broadcom (recogido por Rapid7), las versiones que incorporan la corrección son:

• Rama 9.1: actualizar a 9.1.0.0300 o superior.
• Rama 9.0: actualizar a 9.0.2.0100 o superior.
• Rama 8.0: actualizar a 8.0 U3k (o 8.0 U2f para quienes estén en la rama 8.0 Update 2).

Para VMware Cloud Foundation y las plataformas Telco Cloud, Broadcom remite a sus artículos de soporte específicos. Conviene verificar siempre los números exactos en el aviso oficial, ya que los parches son acumulativos.

Al no existir mitigación alternativa, mientras se planifica la actualización deben reforzarse las medidas de contención:

• Retirar vCenter de internet: la consola de gestión no debería estar expuesta públicamente.
• Endurecer el acceso mediante segmentación de red y listas de control de acceso, de modo que solo lo alcancen equipos administrativos autorizados.
• Revisar el appliance en busca de señales de compromiso: tareas cron no autorizadas, binarios o ejecuciones de reverse_ssh y conexiones salientes anómalas hacia dominios o direcciones IP ajenas al tráfico habitual. QUIRSO ha publicado una regla YARA para detectar los binarios de reverse_ssh (con la salvedad de que el uso legítimo de esa herramienta también la activa).
• Si se confirma una intrusión, tratar el sistema como comprometido: no basta con parchear, procede una respuesta a incidentes completa (contención, análisis forense, restauración desde copias de seguridad fiables y rotación de credenciales).

Fuentes

• Broadcom — VMSA-2026-0006: VMware ESX, vCenter, Workstation y Fusion (aviso oficial)
• vmware/vcf-security-and-compliance-guidelines (GitHub) — VMSA-2026-0006: Questions & Answers
• CISA — CISA Adds Four Known Exploited Vulnerabilities to Catalog (18 ago 2026)
• CISA — Known Exploited Vulnerabilities Catalog (CVE-2026-59310)
• Rapid7 — Critical VMware vCenter Vulnerabilities (CVE-2026-59309, CVE-2026-59310)
• BleepingComputer — Critical VMware vCenter RCE flaw exploited for reverse SSH access
• Hispasec (Una al día) — Atacantes explotan un fallo crítico en VMware vCenter para instalar acceso remoto persistente
• The Hacker News — Attackers Exploit VMware vCenter Vulnerability to Gain Persistent Remote Access