مهاجمان سایبری با سوءاستفاده از آسیب‌پذیری VMware vCenter، دسترسی پایدار از راه دور به سامانه‌های آسیب‌پذیر پیدا کرده‌اند. آسیب‌پذیری VMware vCenter با شناسه CVE-2026-59310 و امتیاز بحرانی 9.8 در CVSS، به مهاجمان دارای دسترسی شبکه امکان اجرای کد دلخواه (Arbitrary Code Execution) روی سامانه را می‌دهد. یافته‌های شرکت QUIRSO نشان می‌دهد این حملات تنها چند روز پس از افشای عمومی آسیب‌پذیری آغاز شده و سامانه‌هایی در کشورهای مختلف را هدف قرار داده است.
سوءاستفاده از آسیب‌پذیری VMware vCenter برای ایجاد دسترسی پایدار
شرکت آلمانی QUIRSO این فعالیت را در جریان یک عملیات پاسخ به رخداد (Incident Response) شناسایی کرد. بررسی زنجیره حمله نشان داد مهاجمان ابتدا از طریق فعالیت‌های پیمایش مسیر (Path Traversal) مرتبط با این آسیب‌پذیری به سامانه دسترسی پیدا کرده‌اند و سپس برای ایجاد دسترسی پایدار (Persistence) روی میزبان، یک Cron Job مخرب ایجاد کرده‌اند.
این Cron Job، ابزار متن‌باز reverse_ssh را اجرا می‌کرد؛ ابزاری که امکان برقراری اتصال‌های SSH به زیرساخت تحت کنترل مهاجم را فراهم می‌کند. به این ترتیب، مهاجمان پس از سوءاستفاده از آسیب‌پذیری VMware vCenter، یک اتصال خروجی به زیرساخت تحت کنترل خود برقرار می‌کردند تا دسترسی پایدار آن‌ها به سامانه آلوده حفظ شود.
شناسایی 361 آدرس IP قربانی در 47 کشور
بررسی سامانه‌های هک‌شده توسط QUIRSO نشان داد که این سامانه‌ها نخستین ارتباط خود را با دامنه‌های تحت کنترل مهاجمان در 3 آگوست برقرار کرده‌اند. این ارتباط تنها پنج روز پس از اعلام عمومی این نقص امنیتی از سوی Broadcom برقرار شد.
QUIRSO در مجموع 361 آدرس IP منحصربه‌فرد متعلق به قربانیان در 47 کشور را شناسایی کرده است. آلمان، ایالات متحده، ترکیه، ایران و فرانسه بیشترین تعداد قربانیان این کمپین را به خود اختصاص داده‌اند.
به گفته QUIRSO، اگرچه ممکن است مهاجمان پیش از افشای عمومی از وجود این آسیب‌پذیری VMware vCenter مطلع بوده باشند، اما فاصله کوتاه میان زمان افشای آن و آغاز حملات نشان می‌دهد که افشای عمومی احتمالاً نقطه آغاز این فعالیت‌ها بوده است.
احتمال دخالت یک عامل تهدید APT در حملات
هنوز مشخص نیست چه گروه یا عاملی پشت این کمپین قرار دارد، اما شواهد موجود احتمال دخالت یک عامل تهدید پیشرفته و پایدار (APT) را مطرح می‌کند.
سامانه‌های VMware در سال‌های اخیر بارها هدف گروه‌های تهدید چینی قرار گرفته‌اند. برای مثال، گروه UNC5174 در چندین کمپین جاسوسی از آسیب‌پذیری‌های موجود در VMware Tools و VMware vCenter سوءاستفاده کرده و از این ضعف‌ها برای پیشبرد حملات خود بهره گرفته است. با توجه به این سابقه، آسیب‌پذیری VMware vCenter نیز می‌تواند برای مهاجمان فرصتی مناسب برای نفوذ به زیرساخت‌های سازمانی فراهم کند.
سابقه استفاده از reverse_ssh در حملات سایبری
شرکت SentinelOne در آوریل 2025، جزئیات یک گروه تهدید مرتبط با چین با نام PurpleHaze را منتشر کرد. این گروه یک نهاد پشتیبان دولت در جنوب آسیا را هدف قرار داده بود و از یک بکدور ویندوزی موسوم به GoReShell استفاده می‌کرد.
GoReShell از قابلیت‌های ابزار reverse_ssh برای برقراری اتصال معکوس SSH (Reverse SSH Connection) با میزبان‌های تحت کنترل مهاجمان بهره می‌برد. استفاده از همین ابزار در حملات مرتبط با آسیب‌پذیری VMware vCenter قابل توجه است، اما این شباهت به‌تنهایی برای نسبت دادن کمپین فعلی به یک گروه مشخص کافی نیست.
چگونه reverse_ssh کنترل‌های امنیتی را دور می‌زند؟
مزیت reverse_ssh برای مهاجمان این است که می‌تواند ارتباط را از داخل سامانه قربانی به سمت زیرساخت تحت کنترل آن‌ها برقرار کند. در این روش، سامانه قربانی یک اتصال خروجی به Endpoint مهاجم برقرار می‌کند و مهاجم بدون نیاز به ایجاد یک اتصال ورودی مستقیم، می‌تواند ارتباط خود را با سامانه حفظ کند. همین موضوع می‌تواند برخی سازوکارهای امنیتی برای شناسایی یا مسدود کردن درخواست‌های ورودی مشکوک را دور بزند.
بااین‌حال، QUIRSO تأکید کرده است که مشاهده reverse_ssh به‌تنهایی به معنای فعالیت مخرب نیست. اما اگر این ابزار در کنار نصب بدون مجوز، برقراری اتصال‌های خروجی غیرعادی یا اجرای آن روی یک vCenter آسیب‌پذیر مشاهده شود، این موارد باید در اولویت بررسی تیم امنیتی قرار گیرند.
افزایش اسکن‌ها برای شناسایی آسیب‌پذیری VMware vCenter
شرکت Defused Cyber هم‌زمان از افزایش چشمگیر اسکن‌های VMware vCenter خبر داده است. این فعالیت‌ها می‌تواند نشانه تلاش مهاجمان برای شناسایی سامانه‌های آسیب‌پذیر و سوءاستفاده از آسیب‌پذیری CVE-2026-59309 باشد. این آسیب‌پذیری دارای امتیاز CVSS 9.8 است.
Defused Cyber اعلام کرده است که هانی‌پات‌های این شرکت افزایش فعالیت‌های شناسایی و جمع‌آوری اطلاعات درباره سامانه‌ها را ثبت کرده‌اند. از جمله این فعالیت‌ها می‌توان به بررسی نسخه سامانه از طریق درخواست POST /sdk/ و بررسی جریان ورود یکپارچه SAML (SAML SSO) در مسیر /websso اشاره کرد.
این فعالیت‌ها هم‌زمان با انتشار اطلاعیه امنیتی VMSA-2026-0006 از سوی Broadcom مشاهده شده‌اند. این اطلاعیه آسیب‌پذیری CVE-2026-59309 را پوشش می‌دهد. این ضعف امنیتی در vmdir به مهاجم اجازه می‌دهد بدون ارائه اطلاعات احراز هویت، سازوکار احراز هویت را دور بزند. این آسیب‌پذیری نیز دارای امتیاز CVSS 9.8 است.
به گفته پژوهشگران شرکت QUIRSO، در حال حاضر شواهد کافی برای ارتباط فعالیت‌های اسکن و تلاش برای سوءاستفاده از CVE-2026-59309 با مجموعه نفوذ یا زیرساخت مهاجم مرتبط با CVE-2026-59310 وجود ندارد.
پژوهشگران این شرکت در ادامه تأکید کرده‌اند که با اطمینان بیشتری می‌توان گفت فعالیت بررسی‌شده، صرفاً به تلاش برای سوءاستفاده محدود نبوده و منجر به نفوذ موفق به سامانه‌ها شده است. شواهد فارنزیک (Forensic Evidence) نیز نشان می‌دهد آسیب‌پذیری VMware vCenter با شناسه CVE-2026-59310 احتمالاً مسیر ورود اولیه مهاجمان به سامانه‌ها بوده است.
