بهره‌برداری باج‌افزارها از آسیب‌پذیری بحرانی VMware vCenter

برخی نهادهای امنیتی درباره ادامه حملات به یک آسیب‌پذیری خاص VMware vCenter هشدار داده‌اند. این آسیب‌پذیری با شناسه CVE-2026-59310 شناخته می‌شود. گزارش‌ها نشان می‌دهند گروه‌های باج‌افزاری نیز به جمع مهاجمانی پیوسته‌اند که از این نقص امنیتی سوءاستفاده می‌کنند. مهاجم می‌تواند بدون احراز هویت از این نقص برای اجرای کد دلخواه استفاده کند.

این موضوع برای سازمان‌هایی که دارای زیرساخت VMware هستند اهمیت زیادی دارد. به‌ویژه سازمان‌هایی که سرورهای vCenter را مستقیماً در معرض اینترنت قرار داده‌اند، باید وضعیت وصله‌های امنیتی خود را بررسی کنند.

آسیب‌پذیری CVE-2026-59310 چیست؟

CVE-2026-59310 یک آسیب‌پذیری بحرانی از نوع Directory Traversal در مؤلفه Syslog Server نرم‌افزار VMware vCenter است. شرکت Broadcom این نقص را در تاریخ ۲۹ ژوئیه برطرف کرد. مهاجم بدون نیاز به احراز هویت می‌تواند از این آسیب‌پذیری برای اجرای کد دلخواه استفاده کند. این شرکت همچنین از مشتریان خواست رفع این نقص را یک اقدام اضطراری در نظر بگیرند و وصله امنیتی را در سریع‌ترین زمان ممکن نصب کنند.

سابقه سوءاستفاده از CVE-2026-59310

پیش‌تر نیز شرکت QUIRSO از سوءاستفاده مهاجمان از این آسیب‌پذیری خبر داده بود. مهاجمان در این عملیات از یک ابزار Reverse SSH استفاده کردند. این ابزار می‌تواند دسترسی مداوم و ارتباط از راه دور را برای مهاجم فراهم کند. یافته‌های QUIRSO نشان می‌دهد مهاجمان تنها به شناسایی سرورهای آسیب‌پذیر اکتفا نکرده‌اند. آنها از نقص امنیتی برای ایجاد دسترسی پایدار نیز استفاده کرده‌اند.

باج‌افزارها وارد زنجیره حمله شدند

برخی نهادهای امنیتی پیش‌تر CVE-2026-59310 را در فهرست آسیب‌پذیری‌های مورد سوءاستفاده قرار داده بودند.

بعدتر، این آسیب‌پذیری به‌عنوان یکی از نقص‌هایی که گروه‌های باج‌افزاری از آنها سوءاستفاده می‌کنند، علامت‌گذاری شد.

ورود باج‌افزارها به این زنجیره، اهمیت آسیب‌پذیری VMware vCenter را بیشتر می‌کند. مهاجم می‌تواند از vCenter به‌عنوان نقطه ورود به زیرساخت سازمان استفاده کند. پس از دسترسی اولیه، مهاجم ممکن است فعالیت‌های دیگری مانند سرقت اطلاعات، حرکت جانبی یا اجرای باج‌افزار را دنبال کند.

سرورهای VMware در معرض اینترنت

پایش‌های Shadowserver نشان می‌دهد 16 سرور VMware vCenter در ایران از طریق اینترنت قابل دسترس هستند. این آمار وضعیت وصله‌شدن این سرورها را مشخص نمی‌کند. بنابراین نمی‌توان همه این سامانه‌ها را آسیب‌پذیر دانست. با این حال، قرار گرفتن رابط مدیریتی vCenter در معرض اینترنت می‌تواند سطح حمله را افزایش دهد.

مدیران زیرساخت باید دسترسی مستقیم اینترنتی به vCenter را بررسی کنند. در صورت امکان، این دسترسی باید از طریق کنترل‌های شبکه و سامانه‌های مدیریتی محدود شود.

سابقه حملات VMware در ایران

سابقه حملات به زیرساخت‌های VMware در ایران نشان می‌دهد تهدیدها تنها به سوءاستفاده از آسیب‌پذیری‌های vCenter محدود نمی‌شوند. در تیرماه ۱۴۰۵، دست‌کم یک شرکت ایرانی هدف حمله باج‌افزاری قرار گرفت که مستقیماً زیرساخت VMware ESXi را هدف قرار داده بود. مهاجمان پس از دسترسی به هاست ESXi، فایل‌های ماشین‌های مجازی از جمله VMDK و VMX را رمزگذاری کردند و در نتیجه، چندین ماشین مجازی به‌طور هم‌زمان از دسترس خارج شدند. این رخداد نمونه‌ای از تغییر رویکرد مهاجمان به سمت هدف قرار دادن لایه مجازی‌سازی است؛ رویکردی که می‌تواند با نفوذ به یک هاست، دامنه اثرگذاری حمله را به تعداد زیادی از سامانه‌های سازمان گسترش دهد.

چرا VMware هدف مهاجمان است؟

محصولات VMware بخش مهمی از زیرساخت مجازی‌سازی بسیاری از سازمان‌ها را تشکیل می‌دهند. یک سرور vCenter یا ESXi در بسیاری از محیط‌ها به سامانه‌های مختلف دسترسی دارد. به همین دلیل، نفوذ به این بخش می‌تواند مسیر حمله به سایر سامانه‌های سازمان را باز کند.

گروه‌های باج‌افزاری نیز طی سال‌های اخیر توجه ویژه‌ای به محیط‌های VMware نشان داده‌اند. برخی گروه‌ها حتی ابزارهای رمزگذاری اختصاصی برای ماشین‌های مجازی VMware توسعه داده‌اند. این موضوع نشان می‌دهد مهاجمان برای حمله به زیرساخت‌های مجازی‌سازی آمادگی فنی دارند.

آسیب‌پذیری‌های VMware همچنان زیر ذره‌بین هستند

CVE-2026-59310 تنها آسیب‌پذیری مهم VMware در سال جاری نیست. آسیب‌پذیری CVE-2026-22719 در VMware Aria Operations و آسیب‌پذیری CVE-2024-37079 در VMware vCenter Server نیز در ماه‌های اخیر در حملات مورد سوءاستفاده قرار گرفته‌اند. همچنین در فوریه، یک آسیب‌پذیری VMware ESXi با شناسه CVE-2025-22225 در حملات مورد سوءاستفاده قرار گرفت. برخی گزارش‌ها از هدف قرار گرفتن این نقص توسط مهاجمان چینی‌زبان خبر دادند. در مجموع، طی پنج سال گذشته ۲۶ آسیب‌پذیری VMware در حملات واقعی شناسایی شده‌اند. از این تعداد، ۹ آسیب‌پذیری در عملیات مرتبط با باج‌افزارها نیز مورد استفاده قرار گرفته‌اند.

چگونه از VMware vCenter در برابر این حملات محافظت کنیم؟

مدیران شبکه و زیرساخت باید چند اقدام مشخص را در اولویت قرار دهند:

1. نسخه VMware vCenter Server را بررسی کنید.

2. وصله مربوط به CVE-2026-59310 را در سریع‌ترین زمان ممکن نصب کنید.

3. دسترسی مستقیم اینترنتی به سرورهای vCenter را محدود کنید.

4. لاگ‌های vCenter و سامانه‌های مرتبط را برای فعالیت غیرعادی بررسی کنید.

5. ارتباطات غیرمعمول و ایجاد نشست‌های ناشناس را بررسی کنید.

6. حساب‌های مدیریتی را از نظر ورودهای غیرعادی بررسی کنید.

7. در صورت مشاهده نشانه‌های نفوذ، سرورهای مشکوک را از شبکه جدا و فرایند بررسی رخداد را آغاز کنید.

8. وضعیت وصله سایر محصولات VMware مانند ESXi، Workstation و Fusion را نیز بررسی کنید.