CVE-2026-59310 transforme vCenter en rampe de lancement du ransomware Babuk

Début août 2026. Broadcom publie un correctif d’urgence pour CVE-2026-59310, une traversée de chemin dans VMware vCenter Server notée CVSS 9.8. Cinq jours plus tard. Check Point Research et The Hacker News documentent une exploitation active dans 47 pays. 19 août 2026. La CISA inscrit la faille à son catalogue KEV des vulnérabilités exploitées. Entre-temps, les attaquants ont eu le temps de transformer la console de virtualisation en rampe de lancement d’un ransomware dérivé de Babuk.

Ce qui rend cette faille dangereuse n’est pas sa technique, mais sa cible : vCenter est le point de commande unique d’un parc de machines virtuelles, et une seule exécution de code y donne le contrôle de tout ce qui tourne derrière.

Une console de gestion qui vaut plus cher qu’un serveur

CVE-2026-59310 est une vulnérabilité de traversée de chemin (path traversal) dans vCenter Server. Concrètement, un attaquant disposant d’un simple accès réseau à l’interface de gestion peut exécuter du code arbitraire sans avoir besoin d’identifiants valides. Il n’y a pas de phishing préalable, pas de compte compromis à trouver : l’accès réseau suffit.

La position de vCenter dans l’architecture est ce qui fait toute la différence. Là où un serveur compromis ne livre qu’une machine, vCenter administre des dizaines, parfois des centaines de machines virtuelles à la fois. Un attaquant qui prend la main sur la console hérite de la clé du trousseau : il peut éteindre des charges de production, exfiltrer des snapshots, et surtout déclencher un chiffrement massif sans toucher une seule VM individuellement.

C’est précisément ce qui en fait une cible de ransomware plus rentable que l’attaque d’un serveur isolé. Le retour sur investissement d’un seul exploit y est démultiplié par la taille du parc qu’il commande.

Le scénario documenté : reverse SSH, puis Babuk

Le déroulé observé par les chercheurs est mécanique. Une fois la console compromise, les attaquants déposent un binaire de reverse SSH pour maintenir un accès persistant, puis pivotent latéralement avant de déclencher la charge utile. Le motif est suffisamment cohérent d’une victime à l’autre pour évoquer un acteur coordonné ou un groupe d’affiliés, plutôt que des copieurs opportunistes travaillant depuis une preuve de concept publique.

La charge utile est un ransomware dérivé de Babuk. Babuk a émergé en 2021, et son code source circule depuis sur les forums cybercriminels, donnant naissance à toute une famille de souches dérivées utilisées par des groupes sans lien entre eux. La variante déployée ici suit cette lignée : ce n’est pas le groupe Babuk d’origine qui opère, mais un affilié qui réutilise un outillage acheté ou fuité contre des instances vCenter fraîchement compromises.

Ce modèle est devenu la norme de l’économie du ransomware en 2026 : des courtiers d’accès (access brokers) se spécialisent dans la découverte et l’exploitation de CVE fraîches, puis revendent la prise à des équipes distinctes chargées du chiffrement et de l’extorsion. Une seule équipe d’accès bien outillée peut militariser une CVE et vendre des points d’ancrage à plusieurs affiliés dans la même semaine où le correctif sort.

Un contexte d’exploitation exceptionnellement agressif

CVE-2026-59310 ne tombe pas dans le vide. Elle arrive dans la même semaine que le Patch Tuesday de Microsoft, qui a corrigé 421 CVE le 11 août 2026, dont CVE-2026-68820, une faille use-after-free dans le pilote AFD.sys de Windows déjà exploitée par le groupe Lazarus nord-coréen contre des cibles défense et aérospatiale en France, en Allemagne, au Brésil et en Inde.

Le 19 août 2026, la CISA a ajouté quatre vulnérabilités critiques à son catalogue KEV d’un coup : CVE-2026-59310 (vCenter), CVE-2026-68820 (Windows AFD.sys), CVE-2026-65400 (macOS Screen Sharing) et CVE-2026-55040 (Microsoft SharePoint). Quatre éditeurs, quatre plateformes, un même signal : ce n’est pas un problème isolé, mais une vague d’exploitation simultanée sur le logiciel d’entreprise.

Check Point a par ailleurs signalé une CVE-2026-59309 dans la même famille de produits, également notée CVSS 9.8, suggérant que les attaquants ont trouvé plus d’une route à haute sévérité vers le même produit à quelques jours d’intervalle. Enfin, les campagnes Medusa dépassent désormais 500 organisations touchées dans le monde, dans un écosystème où l’accès initial se négocie de plus en plus comme une marchandise.

Un motif qui se répète depuis ESXiArgs

Ce n’est pas la première fois que la virtualisation VMware sert de terrain de chasse aux ransomwares. Début 2023, la vague ESXiArgs avait frappé des milliers de serveurs ESXi exposés dans le monde, en exploitant une faille déjà corrigée que de nombreux administrateurs n’avaient simplement jamais appliquée. Le motif qui se répète n’est pas que le logiciel de VMware soit particulièrement vulnérable, mais que les consoles de virtualisation sont souvent exposées à des réseaux moins segmentés que les charges de travail qu’elles contrôlent.

La différence de 2026 tient à la cible. ESXiArgs visait les hyperviseurs directement ; la campagne CVE-2026-59310 vise la couche de gestion vCenter, ce qui donne à l’attaquant un contrôle centralisé sur plusieurs machines virtuelles à la fois — un effet de levier supérieur pour un coût d’exploitation comparable.

Le retard de patch s’explique en partie par un rythme de correctifs moins prévisible que celui de Microsoft. Le Patch Tuesday mensuel donne aux défenseurs une fenêtre connue pour tester et déployer. Broadcom, lui, publie ses correctifs vCenter au fil de l’eau, sur un calendrier plus difficile à planifier. Résultat : un correctif critique peut arriver à n’importe quel moment, et les équipes qui planifient leurs mises à jour par trimestre sont précisément celles que la campagne rattrape.

Ce qu’il faut faire, concrètement

La réponse se résume à deux gestes, et aucun ne demande de budget exceptionnel.

• Patcher sans délai. Appliquer le correctif Broadcom pour CVE-2026-59310 sans attendre la fenêtre de maintenance planifiée. La campagne de ransomware est déjà en cours, et chaque jour de retard est un jour d’exposition à un acteur qui automatise la détection d’instances exposées.
• Segmenter l’interface de gestion. vCenter ne doit pas être joignable depuis le réseau utilisateur général. Restreindre l’accès aux sous-réseaux d’administration réduit l’exposition avant même la fin du déploiement du correctif — Broadcom n’a pas publié de contournement complet qui élimine la vulnérabilité sans patcher.
• Auditer les sauvegardes hors vCenter. Les opérateurs de ransomware ciblent explicitement l’infrastructure de sauvegarde une fois le contrôle administratif obtenu. Une sauvegarde administrée par le même vCenter compromis n’est pas une sauvegarde, c’est un prolongement de la surface attaquée.

# Vérifier la version vCenter exposée (depuis un segment interne)
nmap -p 443 --script vmware-version <ip-vcenter>

# Confirmer le numéro de build corrigé face à l'avis Broadcom
curl -sk https://<fqdn-vcenter>/ui/ | grep -i build

# Restreindre l'interface de gestion (exemple de règle de pare-feu)
iptables -A INPUT -p tcp --dport 443 -s <sous-reseau-admin> -j ACCEPT
iptables -A INPUT -p tcp --dport 443 -j DROP

Verdict

Si vous exploitez VMware à l’échelle, traitez vCenter comme ce qu’il est devenu : un actif à haute valeur dont le correctif ne souffre aucun retard. La segmentation de l’interface de gestion est le contrôle le plus rentable que vous puissiez déployer cette semaine, et l’audit des sauvegardes indépendantes de vCenter est la deuxième priorité.

Si vous êtes une équipe plus petite, le réflexe à corriger est celui du patch « au prochain trimestre ». Le motif ESXiArgs de 2023 — des milliers de serveurs exposés sur une faille déjà corrigée mais jamais appliquée — se répète en 2026 sur la couche de gestion. La leçon est la même : la virtualisation se patche comme une surface d’attaque critique, pas comme un poste de travail.

Références

• VMware vCenter Zero-Day: CVE-2026-59310 Hits 47 Nations — Tech Insider, 25 août 2026
• Critical macOS, SharePoint, vCenter and more flaws added to KEV — The Hacker News, 19 août 2026
• August 2026 Patch Tuesday — Microsoft fixes 421 CVEs, one exploited zero-day — SecurityWeek
• Known Exploited Vulnerabilities Catalog — CISA
• CVE-2026-59310 — VMware vCenter Server