CISA: Celah VMware vCenter Kritis Kini Dieksploitasi Geng Ransomware

Badan Keamanan Siber dan Infrastruktur Amerika Serikat (CISA) memperingatkan tim keamanan bahwa kelompok ransomware kini telah ikut mengeksploitasi celah keamanan kritis pada VMware vCenter Server. Kerentanan tersebut sebelumnya telah ditambal Broadcom pada Juli 2026, tetapi masih menjadi sasaran serangan aktif.

Celah yang dilacak sebagai CVE-2026-59310 memungkinkan penyerang yang tidak terautentikasi menjalankan kode arbitrer pada sistem yang rentan. CISA kini memasukkan kerentanan tersebut ke dalam kategori kerentanan yang diketahui telah digunakan dalam kampanye ransomware.

Celah Directory Traversal pada VMware vCenter

Broadcom memperbaiki CVE-2026-59310 pada 29 Juli 2026. Perusahaan mengklasifikasikannya sebagai kerentanan directory traversal kritis pada Syslog server milik vCenter.

Kerentanan ini sangat berbahaya karena dapat dieksploitasi oleh penyerang yang tidak perlu melakukan autentikasi terlebih dahulu. Eksploitasi yang berhasil dapat memungkinkan penyerang menjalankan kode arbitrer pada sistem yang terdampak.

Broadcom juga mengeluarkan peringatan tambahan melalui FAQ keamanan dan meminta pelanggan memperlakukan proses patching CVE-2026-59310 sebagai keadaan darurat.

Artinya, administrator VMware vCenter yang belum memasang pembaruan keamanan menghadapi risiko yang lebih tinggi, terutama karena eksploitasi di dunia nyata telah terdeteksi.

Lebih dari 361 Alamat IP Telah Terkompromi

Risiko tersebut mulai terlihat jelas hanya beberapa minggu setelah patch tersedia.

Sekitar dua minggu setelah Broadcom merilis perbaikan, perusahaan digital forensics dan incident response (DFIR) QUIRSO melaporkan menemukan lebih dari 361 alamat IP di 47 negara yang telah dikompromikan.

Serangan tersebut dikaitkan dengan aktor yang diduga merupakan Advanced Persistent Threat (APT). Pelaku memanfaatkan CVE-2026-59310 untuk memasang tool reverse SSH.

Reverse SSH dapat memberikan akses jarak jauh sekaligus membantu penyerang mempertahankan persistence di lingkungan yang telah disusupi. Dengan demikian, eksploitasi tidak hanya digunakan untuk akses awal, tetapi juga berpotensi menjadi bagian dari rangkaian serangan yang lebih panjang.

CISA Memasukkan CVE-2026-59310 ke KEV

Pada 18 Agustus 2026, CISA menambahkan CVE-2026-59310 ke dalam Known Exploited Vulnerabilities (KEV) Catalog.

Masuknya sebuah kerentanan ke katalog KEV menunjukkan bahwa CISA memiliki informasi bahwa kerentanan tersebut telah dieksploitasi di dunia nyata.

CISA kemudian meminta lembaga pemerintah AS mengamankan sistem vCenter yang terdampak dalam waktu tiga hari.

Peringatan tersebut kini menjadi lebih serius. Dalam pembaruan terbaru, CISA menandai CVE-2026-59310 sebagai kerentanan yang diketahui digunakan dalam kampanye ransomware.

CISA belum memberikan rincian mengenai kelompok ransomware mana yang mengeksploitasi kerentanan tersebut atau organisasi mana yang menjadi korban.

Lebih dari 450 VMware vCenter Terlihat Online

Pemantauan dari Shadowserver saat ini menunjukkan terdapat lebih dari 450 VMware vCenter Server yang terekspos langsung ke internet.

Angka tersebut tidak berarti seluruh server tersebut rentan terhadap CVE-2026-59310. Data yang tersedia juga tidak menunjukkan berapa banyak sistem yang sudah memasang patch keamanan dari Broadcom.

Namun, keberadaan ratusan server vCenter yang dapat diakses dari internet tetap menjadi perhatian karena vCenter merupakan komponen penting dalam banyak infrastruktur virtualisasi perusahaan.

Semakin banyak sistem yang terekspos, semakin besar pula permukaan serangan yang dapat dipantau dan ditargetkan oleh pelaku ancaman.

Mengapa VMware Menjadi Target Ransomware?

Infrastruktur VMware telah lama menjadi sasaran kelompok ransomware karena server virtualisasi sering memiliki akses ke berbagai sistem internal dan menyimpan atau mengelola data perusahaan dalam jumlah besar.

Ketika infrastruktur virtualisasi berhasil dikompromikan, penyerang berpotensi mendapatkan posisi strategis untuk bergerak lebih jauh di dalam jaringan organisasi.

Kelompok ransomware juga secara khusus mengembangkan malware yang dapat mengenkripsi mesin virtual VMware. Dalam beberapa tahun terakhir, sejumlah operasi ransomware diketahui memiliki encryptor berbasis Linux yang dirancang untuk menyerang VMware ESXi dan lingkungan virtual machine.

Hal ini membuat kompromi terhadap infrastruktur VMware menjadi lebih berisiko dibandingkan sekadar mengambil alih satu endpoint.

Bukan Pertama Kalinya VMware Dieksploitasi Ransomware

CVE-2026-59310 bukan satu-satunya kerentanan VMware yang masuk dalam kampanye ransomware.

Pada Februari 2026, CISA memperingatkan bahwa kelompok ransomware mulai mengeksploitasi kerentanan VMware ESXi sandbox escape CVE-2025-22225.

Kerentanan tersebut juga dikaitkan dengan aktivitas zero-day oleh aktor ancaman berbahasa Mandarin yang disebut telah menargetkannya setidaknya sejak Februari 2024.

Sepanjang 2026, CISA juga telah menandai kerentanan pada VMware Aria Operations, yaitu CVE-2026-22719, serta kerentanan VMware vCenter Server CVE-2024-37079, sebagai celah yang telah dieksploitasi dalam serangan.

Secara keseluruhan, selama lima tahun terakhir CISA telah memasukkan 26 kerentanan VMware ke dalam KEV Catalog karena telah dieksploitasi di dunia nyata. Dari jumlah tersebut, sembilan kerentanan juga diketahui digunakan oleh operasi ransomware.

Administrator VMware Perlu Segera Memeriksa Patch

Dengan CVE-2026-59310 yang kini diketahui digunakan oleh kelompok ransomware, administrator VMware sebaiknya tidak menganggap patch Juli 2026 sebagai pembaruan rutin.

Langkah yang perlu diperhatikan meliputi:

• Memastikan VMware vCenter Server telah diperbarui ke versi yang telah memperbaiki CVE-2026-59310.
• Memeriksa apakah vCenter dapat diakses langsung dari internet.
• Meninjau log untuk mencari aktivitas mencurigakan atau indikasi eksploitasi.
• Memeriksa kemungkinan adanya persistence seperti reverse SSH atau akun maupun akses baru yang tidak dikenal.
• Membatasi akses administratif vCenter hanya dari jaringan atau sumber yang memang diperlukan.
• Melakukan pemeriksaan terhadap sistem virtualisasi dan jaringan internal apabila terdapat indikasi kompromi.

Risiko terhadap CVE-2026-59310 kini tidak lagi bersifat teoritis. Kerentanan tersebut telah dieksploitasi secara aktif dan telah ditandai CISA sebagai bagian dari aktivitas ransomware, sehingga sistem VMware vCenter yang belum diperbarui menjadi target yang perlu mendapat perhatian segera.

Sumber: CISA