Critical VMware vCenter RCE Dieksploitasi untuk Membuka Akses Reverse SSH

Kerentanan kritis pada VMware vCenter Syslog Server yang baru saja ditambal kini telah dieksploitasi dalam kampanye serangan aktif. Penyerang memanfaatkan celah tersebut untuk memasang tool reverse SSH yang memungkinkan mereka mempertahankan akses sekaligus melakukan remote access ke sistem yang telah dikompromikan.

Kerentanan yang dilacak sebagai CVE-2026-59310 tersebut telah ditemukan pada ratusan sistem vCenter di berbagai negara. Hingga 7 Agustus 2026, perusahaan digital forensics dan incident response QUIRSO mengidentifikasi 361 alamat IP korban yang tersebar di 47 negara.

Lebih dari separuh alamat IP tersebut berada di Jerman, Amerika Serikat, Turki, Iran, dan Prancis.

CVE-2026-59310 Memungkinkan Remote Code Execution

Broadcom mengungkap CVE-2026-59310 pada 29 Juli 2026 dan mengategorikannya sebagai critical directory traversal vulnerability pada vCenter Syslog Server.

Celah tersebut dapat dieksploitasi oleh penyerang yang tidak terautentikasi selama memiliki network access ke server yang rentan. Eksploitasi dapat memungkinkan penyerang menjalankan arbitrary code pada sistem target.

Karena vCenter berfungsi sebagai pusat pengelolaan lingkungan virtual VMware, kompromi terhadap platform ini memiliki risiko yang cukup besar.

VMware vCenter digunakan untuk mengelola dan memantau berbagai komponen infrastruktur virtualisasi, termasuk virtual machine, server ESXi, konfigurasi, serta access permissions.

Akses terhadap vCenter dapat memberikan penyerang posisi strategis untuk mengganggu maupun menyerang berbagai sistem yang berada di bawah pengelolaannya.

Eksploitasi Dimulai Hanya Lima Hari Setelah Patch

Kecepatan eksploitasi terhadap vulnerability ini menjadi salah satu aspek yang paling mengkhawatirkan.

Menurut investigasi QUIRSO, sistem vCenter yang telah dikompromikan mulai melakukan koneksi ke infrastruktur yang dikendalikan penyerang pada 3 Agustus 2026.

Tanggal tersebut hanya berselang lima hari setelah Broadcom mengungkap vulnerability dan merilis emergency security update.

Kampanye kemudian berkembang dengan sangat cepat.

Pada 4 Agustus, peneliti menemukan 151 alamat IP korban baru. Sehari kemudian, jumlah tersebut meningkat menjadi 343 alamat IP.

Hingga 7 Agustus, total korban yang berhasil diidentifikasi mencapai 361 alamat IP dari 47 negara.

Perkembangan tersebut menunjukkan betapa cepatnya threat actor dapat menemukan sistem yang belum diperbarui setelah vulnerability kritis dipublikasikan.

Penyerang Memasang Reverse SSH

Setelah memperoleh akses ke sistem vCenter yang rentan, penyerang memasang framework open-source bernama reverse_ssh.

Tool tersebut digunakan untuk membuat koneksi reverse SSH dari sistem korban menuju infrastruktur yang dikendalikan penyerang.

Berbeda dengan koneksi remote access konvensional yang biasanya membutuhkan koneksi masuk ke sistem korban, reverse SSH memungkinkan mesin korban membuat koneksi keluar menuju server penyerang.

Koneksi tersebut kemudian dapat dimanfaatkan sebagai command-and-control (C2) channel.

Teknik ini juga dapat membantu melewati firewall atau mekanisme keamanan jaringan yang memblokir koneksi masuk dari Internet tetapi masih mengizinkan koneksi outbound tertentu.

Dengan demikian, setelah vulnerability awal dieksploitasi, penyerang memiliki mekanisme untuk mempertahankan akses ke lingkungan yang telah dikompromikan.

Reverse SSH Digunakan untuk Persistence

Pemasangan reverse SSH menunjukkan bahwa tujuan serangan tidak berhenti pada eksploitasi awal.

Penyerang tampaknya berupaya membangun persistence, sehingga akses terhadap sistem dapat dipertahankan meskipun vulnerability yang digunakan untuk memperoleh akses awal kemudian ditambal.

Dalam skenario seperti ini, memperbarui software saja belum tentu cukup apabila attacker sudah berhasil memasang mekanisme persistence.

Administrator perlu memastikan tidak terdapat komponen asing, akun mencurigakan, proses abnormal, maupun koneksi outbound yang tidak seharusnya muncul setelah sistem diperbarui.

QUIRSO telah merilis sebuah YARA rule generik untuk mendeteksi binary reverse_ssh client.

Namun, rule tersebut juga dapat menghasilkan alert ketika reverse_ssh digunakan secara sah. Karena itu, temuan dari rule perlu dianalisis lebih lanjut untuk memastikan apakah binary atau koneksi yang ditemukan memang merupakan bagian dari aktivitas malicious.

Diduga Melibatkan Aktor APT

QUIRSO menilai kampanye eksploitasi tersebut kemungkinan melibatkan Advanced Persistent Threat (APT).

Meski demikian, peneliti belum memberikan bukti yang cukup untuk mengaitkan aktivitas tersebut dengan kelompok APT tertentu.

QUIRSO juga menahan sejumlah indikator kompromi yang lebih spesifik karena masih melakukan koordinasi dengan penegak hukum.

Perusahaan tersebut berencana menerbitkan laporan lanjutan yang akan membahas lebih detail mengenai infrastruktur penyerang, teknik yang digunakan, mekanisme persistence, serta aktivitas setelah kompromi.

Administrator VMware Diminta Segera Memperbarui vCenter

Broadcom telah menyediakan emergency security update untuk mengatasi CVE-2026-59310 dan tidak menyediakan workaround sebagai pengganti patch.

Versi vCenter yang telah memperbaiki vulnerability tersebut meliputi:

• vCenter 9.1: 9.1.0.0300
• vCenter 9.0: 9.0.2.0100
• vCenter 8.0: 8.0 U3k atau 8.0 U2f, tergantung branch yang digunakan

Administrator sebaiknya segera memastikan seluruh sistem vCenter yang dapat diakses melalui jaringan telah menggunakan versi yang telah diperbaiki.

Selain melakukan patching, organisasi yang menggunakan vCenter juga perlu memeriksa indikasi kompromi, terutama koneksi outbound yang tidak biasa dari server vCenter serta keberadaan binary atau proses reverse SSH yang tidak dikenal.

Hal ini penting karena sebagian sistem yang telah terinfeksi kemungkinan sudah memperoleh persistence sebelum administrator memasang patch.

Risiko Kompromi Tidak Berakhir Setelah Patch

Eksploitasi CVE-2026-59310 hanya beberapa hari setelah vulnerability dipublikasikan menunjukkan bahwa sistem virtualisasi yang menghadapi Internet menjadi target bernilai tinggi bagi threat actor.

Dalam kasus ini, penyerang tidak hanya memanfaatkan vulnerability untuk menjalankan code, tetapi juga memasang mekanisme remote access yang dapat digunakan untuk mempertahankan kendali.

Organisasi yang menjalankan VMware vCenter sebaiknya tidak menganggap proses patching sebagai satu-satunya langkah pemulihan apabila sistem berpotensi telah tereksploitasi.

Pemeriksaan terhadap log, koneksi jaringan, proses yang berjalan, file baru, serta indikasi persistence diperlukan untuk menentukan apakah sistem telah dikompromikan sebelum vulnerability ditutup.

Sumber: QUIRSO