El parche salió en julio, pero los extorsionadores atacan ahora: VMware vCenter vuelve a estar en estado crítico.

La corrección para la vulnerabilidad crítica en VMware vCenter está disponible desde finales de julio, pero un mes y medio después el problema pasó a una fase aún más peligrosa. CISA confirmó que CVE-2026-59310 ahora está siendo utilizada por operadores de ransomware.

vCenter ocupa un lugar especialmente sensible en la infraestructura corporativa. A través de la plataforma, los administradores gestionan hosts ESXi, máquinas virtuales, configuraciones y permisos de acceso, por lo que la toma de la infraestructura virtual puede dar al atacante el control de un gran número de sistemas críticos de forma inmediata.

La vulnerabilidad recibió una puntuación de 9,8 sobre 10 en la escala CVSS y se encuentra en el servidor Syslog de vCenter. El error pertenece a la clase de travesía de directorios. Un atacante solo necesita acceso de red a vCenter; no se requiere cuenta ni interacción con un usuario. Una explotación exitosa permite ejecutar código arbitrario.

Broadcom cerró la brecha el 29 de julio. Para la rama vCenter 9.1 la corrección se incluyó en 9.1.0.0300, para 9.0 se publicó la 9.0.2.0100, y para los usuarios de 8.0 están disponibles 8.0 U3k y 8.0 U2f. No existe una solución alternativa, por lo que el fabricante recomendó desde el principio considerar la actualización como urgente.

El margen de tiempo resultó mínimo. QUIRSO registró los primeros sistemas comprometidos que se conectaban con la infraestructura de los atacantes ya el 3 de agosto, apenas cinco días después de la publicación de la corrección. Para el 7 de agosto los especialistas contaron 361 direcciones IP de víctimas en 47 países. Para afianzar el acceso, los atacantes desplegaban reverse_ssh y obtenían acceso remoto persistente.

Un análisis posterior de QUIRSO mostró una cadena más larga con la creación de un administrador SSO, la búsqueda de hosts VMware ESXi y el despliegue de un ransomware basado en Babuk. Por el conjunto de artefactos, el equipo vincula la campaña con un operador de habla china con moderada confianza; sin embargo, CISA aún no nombra un grupo concreto detrás de los ataques de ransomware.

El 18 de agosto CISA incluyó CVE-2026-59310 en el catálogo Known Exploited Vulnerabilities y dio a las agencias federales de EE. UU. solo tres días para mitigar el problema. Ahora Shadowserver ve en internet más de 450 servidores vCenter expuestos, pero se desconoce qué parte ya recibió las actualizaciones necesarias.

En las recomendaciones de Broadcom se subraya que no existen mitigaciones para CVE-2026-59310. Ante la explotación confirmada por grupos de ransomware, un vCenter sin parchear se convierte en la práctica, de un punto de entrada potencial, en una ruta ya comprobada por los delincuentes hacia la infraestructura virtual.

Una historia similar con vCenter se desarrolló ya a principios de 2026, cuando otra vulnerabilidad crítica siguió estando accesible para ataques muchos meses después de la publicación de la corrección. El servidor de gestión centralizado volvió a ser un objetivo conveniente para desarrollar un ataque dentro de la red corporativa.

El interés de los grupos de ransomware por la virtualización aumenta de forma sistemática. En las investigaciones de Mandiant, los indicios de actividad contra entornos virtualizados aparecieron en el 43 % de los ataques con ransomware en 2025 frente al 29 % del año anterior. En incidentes concretos, los delincuentes entraban a través de vCenter, cambiaban las contraseñas root de ESXi, borraban las copias de seguridad y solo entonces iniciaban el cifrado.

En verano, el grupo Toy Ghouls mostró una especialización similar. Su propio GenieLocker obtuvo versiones para Windows, Linux y VMware ESXi capaces de detener máquinas virtuales y cifrar sus discos. Para los operadores de ransomware, la capa de virtualización cada vez más se convierte no en un objetivo secundario, sino en uno de los puntos centrales de ataque.