Corrigée le 29 juillet, exploitée dès le 3 août : la faille critique de VMware vCenter fait des victimes dans 47 pays, et la France figure en bonne place au tableau. Dans beaucoup d'entreprises, le correctif attend encore.

© Shutterstock
© Shutterstock

Dans une infrastructure virtualisée, vCenter joue le rôle de la tour de contrôle : c'est lui qui pilote les hôtes ESXi, les machines virtuelles, le stockage et le réseau de tout un parc VMware. Broadcom, son propriétaire, a corrigé le 29 juillet une vulnérabilité critique de ce composant, la CVE-2026-59310, notée 9,8 sur 10. Cinq jours plus tard, la société allemande de réponse à incident Quirso observait les premières machines compromises, dont une partie sur le territoire français.

Cinq jours entre le correctif et les premières intrusions

Le bulletin VMSA-2026-0006 publié fin juillet corrigeait trois failles critiques d'un coup : un contournement d'authentification, une évasion de machine virtuelle et cette fameuse traversée de répertoires logée dans le serveur Syslog de vCenter. Derrière le jargon, le principe est presque trivial : le composant chargé de collecter les journaux d'activité accepte des chemins de fichiers mal filtrés. Un attaquant disposant d'un simple accès réseau (sans le moindre identifiant, précisons-le) peut alors exécuter du code arbitraire sur le système, transformant un guichet à courrier en passage direct vers le coffre.

Au moment de publier son correctif, Broadcom indiquait n'avoir constaté aucune exploitation. L'optimisme n'a pas tenu la semaine : lors d'une intervention chez un client, les équipes de Quirso ont repéré des serveurs compromis contactant une infrastructure d'attaque dès le 3 août, cinq jours après la divulgation. Au 5 août, plus de 340 adresses IP victimes communiquaient déjà avec cette infrastructure ; le décompte atteint 361 adresses réparties dans 47 pays. L'Allemagne, les États-Unis, la Turquie, l'Iran et la France concentreraient à eux seuls 185 de ces adresses, un tir groupé qui place l'Hexagone dans le peloton de tête des victimes. Une adresse IP touchée ne vaut pas mécaniquement une organisation entière compromise, mais l'entreprise évoque bien des intrusions réussies, pas de simples tentatives.

Une fois entré, l'attaquant installe une tâche planifiée qui déploie un outil de connexion inversée : le serveur compromis appelle lui-même son pirate, comme un cambriolé qui composerait le numéro du cambrioleur. Le procédé est redoutablement pratique pour traverser les pare-feux, ces derniers laissant volontiers sortir ce qu'ils empêchent d'entrer. Cette vitesse d'exploitation n'a d'ailleurs plus rien d'exceptionnel : en juillet, une faille d'Adobe ColdFusion était attaquée moins de deux heures après la publication de son correctif.

Une cible récidiviste que les entreprises françaises ne peuvent plus ignorer

Les habitués de la rubrique éprouveront une désagréable impression de déjà-vu. En 2021, un code d'exploitation visant la CVE-2021-21985 circulait quelques jours après le correctif, déclenchant des vagues de scans contre les serveurs vCenter exposés. Trois ans plus tard, la CVE-2024-38812 imposait une nouvelle fournée de correctifs, avec une exploitation cette fois confirmée par Broadcom. Et en janvier dernier, des groupes liés à la Chine et à la Russie s'engouffraient encore dans les serveurs VMware non mis à jour. Trois alertes majeures en cinq ans sur le même produit, cela finit par ressembler moins à de la malchance qu'à un modèle économique.

La raison tient à la position du logiciel dans l'architecture : qui tient vCenter tient les clés de tout le parc virtualisé, sauvegardes et réseau compris, l'équivalent du trousseau du gardien d'immeuble. Les interfaces d'administration concentrent d'ailleurs les convoitises bien au-delà de VMware, comme l'a montré au printemps la faille critique déjà exploitée dans les pare-feu de Palo Alto, restée plusieurs jours sans correctif.

Côté français, le CERT-FR a publié son avis dès la divulgation (référence CERTFR-2026-AVI-0949, pour les collectionneurs), et la directive NIS2 rappelle opportunément aux entités essentielles leurs obligations de gestion des vulnérabilités et de notification d'incident. La marche à suivre ne laisse aucune place à la créativité, faute de contournement proposé par Broadcom : appliquer le correctif, puis retirer les interfaces vCenter de l'Internet public. Vient ensuite la chasse aux tâches planifiées inconnues et aux connexions sortantes suspectes. Les indicateurs de compromission circulent ; encore faut-il prendre le temps de les confronter à ses journaux.