Ransomware avança sobre vCenter e CISA amplia alerta em 47 países

A CISA atualizou em 15 de setembro seu comunicado sobre a CVE-2026-59310, falha de directory traversal no serviço Syslog do VMware vCenter Server com CVSS 9,8. A agência confirmou que gangues de ransomware passaram a explorar a vulnerabilidade em paralelo à campanha de espionagem já ativa desde julho, quando a Broadcom liberou o patch em 29 de julho. O alcance inicial mapeado por respondedores de incidentes chega a 361 endereços IP comprometidos em 47 países.

O componente afetado permite que um atacante não autenticado, com acesso de rede, execute código arbitrário no servidor sem privilégios especiais. A CVE foi adicionada ao Known Exploited Vulnerabilities Catalog em 18 de agosto, e a Binding Operational Directive 26-04 exigiu remediação por agências federais até 21 de agosto. O que muda agora é o vetor: onde antes havia captura silenciosa de credenciais SSO e implantação de backdoor persistente, aparece uma cadeia orientada a criptografia em massa de hipervisores ESXi.

Da espionagem à extorsão

Segundo relatórios de resposta a incidente citados pela CISA, os atacantes usam o Syslog para depositar código persistente no vCenter, capturar credenciais de single sign-on e, em seguida, executar variantes derivadas do Babuk contra a camada ESXi. A escolha é técnica: quem controla o vCenter alcança toda a frota de máquinas virtuais executada abaixo dele. Um único administrador comprometido transforma-se numa janela para dezenas de servidores criptografados em minutos.

O produto afetado inclui vSphere Foundation em todas as versões, Cloud Foundation, Telco Cloud Infrastructure 3.0, Telco Cloud Platform e vCenter Server 8.0 até o update3j. Trata-se do estoque instalado em datacenters corporativos, operadoras de telecom e ambientes de saúde no mundo inteiro, o que ajuda a explicar por que os investigadores encontraram vítimas em 47 países.

Leitura para CIOs em três mercados

Nos Estados Unidos, onde o vCenter permanece a espinha dorsal de bancos regionais e sistemas de saúde, o problema é operacional antes de ser regulatório: HIPAA e SEC exigirão notificação em prazos curtos assim que houver criptografia de dados protegidos. Em fornecedores de telecom da Índia e da Europa que ainda mantêm Telco Cloud Infrastructure em produção, o remendo esbarra em janelas de manutenção agendadas com meses de antecedência para infraestrutura crítica de rede. No Brasil, onde bancos e o próprio Serpro operam frotas grandes de ESXi por trás de vCenter, o vetor coincide com o cronograma da Circular BCB nº 4.041, que exige controle e reporte de incidentes cibernéticos materiais em duas horas, um relógio muito curto para descobrir a extensão de uma criptografia em massa.

A Broadcom mantém orientação de aplicar o patch de 29 de julho e desabilitar temporariamente o Syslog em instâncias que não puderem sofrer downtime imediato. Fornecedores de EDR relataram que a assinatura de comportamento pré-criptografia, sondagem via Syslog seguida de leitura de credenciais SSO, é detectável mesmo antes do ransomware chegar ao ESXi. Nem toda equipe de SOC, porém, opera regras específicas para vCenter.

O rearranjo econômico do ransomware sobre virtualização

O caso vCenter confirma um padrão que se firma há dois anos. Gangues abandonaram parcialmente o alvo de estações de trabalho corporativas em favor da camada de hipervisor, onde um ataque bem-sucedido paralisa a produção sem exigir movimentação lateral extensa. Grupos como RansomHub, LockBit reformado e o próprio Babuk clone operam agora com playbooks especializados em ESXi, e a curva de tempo entre disclosure e exploração em massa continua a encolher. Da liberação do patch por Broadcom em 29 de julho até a marca de 361 IPs comprometidos, passaram menos de sete semanas.

A fronteira entre operações de estado e crime organizado com fins financeiros também segue diluindo. A campanha inicial contra a CVE-2026-59310 foi atribuída por pesquisadores da Gurucul a um ator com nexo chinês, orientado a espionagem. A entrada de gangues financeiras no mesmo vetor sugere que a inteligência técnica de exploração vaza rapidamente do ambiente APT para fóruns de brokers de acesso inicial. Para o CISO corporativo, a implicação prática é uma só: o intervalo entre patch e ransomware precisa contar em dias, não em meses.

Há um subtexto orçamentário. A Broadcom, que absorveu a VMware em 2023 por US$ 61 bilhões e reformulou o licenciamento em torno do vSphere Foundation, empurra parte da base instalada para versões mais recentes onde o patch já vem incorporado. Clientes que negociaram desconto de manutenção estendida para permanecer em vCenter 7.0 ficam expostos, e a decisão de acelerar o upgrade colide com ciclos de aprovação de capex que costumam se estender por trimestres. A janela entre saber do risco e ter autorização para gastar continua sendo o ponto mais frágil do ciclo de resposta corporativa.