Faille VMware vCenter : la France dans le top 5 des pays les plus attaqués

Corrigée le 29 juillet, exploitée dès le 3 août : la faille critique de VMware vCenter fait des victimes dans 47 pays, et la France figure en bonne place au tableau. Dans beaucoup d'entreprises, le correctif attend encore.

Dans une infrastructure virtualisée, vCenter joue le rôle de la tour de contrôle : c'est lui qui pilote les hôtes ESXi, les machines virtuelles, le stockage et le réseau de tout un parc VMware. Broadcom, son propriétaire, a corrigé le 29 juillet une vulnérabilité critique de ce composant, la CVE-2026-59310 , notée 9,8 sur 10. Cinq jours plus tard, la société allemande de réponse à incident Quirso observait les premières machines compromises, dont une partie sur le territoire français.

Le bulletin VMSA-2026-0006 publié fin juillet corrigeait trois failles critiques d'un coup : un contournement d'authentification, une évasion de machine virtuelle et cette fameuse traversée de répertoires logée dans le serveur Syslog de vCenter. Derrière le jargon, le principe est presque trivial : le composant chargé de collecter les journaux d'activité accepte des chemins de fichiers mal filtrés. Un attaquant disposant d'un simple accès réseau (sans le moindre identifiant, précisons-le) peut alors exécuter du code arbitraire sur le système, transformant un guichet à courrier en passage direct vers le coffre.

Au moment de publier son correctif, Broadcom indiquait n'avoir constaté aucune exploitation. L'optimisme n'a pas tenu la semaine : lors d'une intervention chez un client, les équipes de Quirso ont repéré des serveurs compromis contactant une infrastructure d'attaque dès le 3 août, cinq jours après la divulgation. Au 5 août, plus de 340 adresses IP victimes communiquaient déjà avec cette infrastructure ; le décompte atteint 361 adresses réparties dans 47 pays. L'Allemagne, les États-Unis, la Turquie, l'Iran et la France concentreraient à eux seuls 185 de ces adresses, un tir groupé qui place l'Hexagone dans le peloton de tête des victimes. Une adresse IP touchée ne vaut pas mécaniquement une organisation entière compromise, mais l'entreprise évoque bien des intrusions réussies, pas de simples tentatives.

Une fois entré, l'attaquant installe une tâche planifiée qui déploie un outil de connexion inversée : le serveur compromis appelle lui-même son pirate, comme un cambriolé qui composerait le numéro du cambrioleur. Le procédé est redoutablement pratique pour traverser les pare-feux, ces derniers laissant volontiers sortir ce qu'ils empêchent d'entrer. Cette vitesse d'exploitation n'a d'ailleurs plus rien d'exceptionnel : en juillet, une faille d'Adobe ColdFusion était attaquée moins de deux heures après la publication de son correctif .

Les habitués de la rubrique éprouveront une désagréable impression de déjà-vu. En 2021, un code d'exploitation visant la CVE-2021-21985 circulait quelques jours après le correctif, déclenchant des vagues de scans contre les serveurs vCenter exposés. Trois ans plus tard, la CVE-2024-38812 imposait une nouvelle fournée de correctifs, avec une exploitation cette fois confirmée par Broadcom.