CVE-2026-59310 : VMware vCenter Syslog 서버가 활발한 공격 캠페인에서 악용됨 - 지속성을 위한 역방향 SSH

VMware vCenter의 Syslog Server에서 RCE 취약점이 활발한 campaña로 악용되고 있습니다. 공격자들은 하이퍼바이저에 지속적인 접근을 유지하기 위해 reverse SSH를 배포합니다. 가상화 취약점의 흐름이 계속되고 있습니다.

무엇 - CVE-2026-59310

VMware vCenter의 Syslog Server에서 RCE(원격 코드 실행) 취약점이 활발한 공격에 악용되고 있습니다. 공격자들은 리버스 SSH 도구를 배포하여 손상된 하이퍼바이저에 지속적인 원격 접근을 유지합니다. 이 취약점은 최근 Broadcom/VMware에 의해 패치되었지만, 업데이트되지 않은 시스템은 여전히 노출되어 있습니다.

영향 대상

VMware vCenter를 사용하며 Syslog Server가 활성화된 모든 조직 - 즉 VMware 스택을 사용하는 거의 모든 기업 데이터센터가 영향을 받습니다. Syslog Server는 일반적으로 중앙화된 로그 수집을 위해 기본적으로 활성화되어 있습니다.

분석

공격 벡터는 특히 우려스러운데, Syslog Server는 관리 평면(management plane)의 구성 요소로 VM 자체보다 더 넓은 네트워크 세그먼트에 접근 가능합니다. 이 서비스를 손상시킨 공격자는 하이퍼바이저 호스트로 이동한 후, 호스팅된 모든 가상 머신으로 확산될 수 있습니다.

리버스 SSH 배포는 단순 웹셸이 아닌 지속성 및 은밀한 명령 및 제어(C2)에 초점을 맞춘 접근 방식을 나타냅니다. 대상에서 시작된 아웃바운드 연결은 종종 인바운드 방화벽 규칙을 우회하며, SSH 트래픽은 일반 네트워크 로그 소음 속에 숨겨집니다.

이 패턴은 가상화 취약성에 대한 우리의 추적과 연장선입니다. Linux KVM의 초기 Zapscape(CVE-2026-64561) 취약점 이후, 이제 VMware vCenter 계층이 활발한 압박을 받고 있습니다. 기업 가상화의 공격 표면이 preocupying한 속도로 확대되고 있습니다.

즉시 조치해야 할 사항

1. 즉시 패치: 모든 vCenter 배포에 대해 CVE-2026-59310의 Broadcom 패치를 적용하세요.
2. 사용하지 않는 경우 Syslog Server 비활성화: Syslog Server를 사용하지 않는 경우 비활성화하세요.
3. ESXi 하이퍼바이저의 아웃바운드 SSH 연결 감사: 알려진 외부 IP가 아닌 곳으로의 모든 아웃바운드 SSH 연결은 의심스러운 것으로 간주하세요.
4. Broadcom advisory와 함께 게시된 IOC(침해 지표) 확인: 인프라가 패치 전 영향을 받았는지 확인하세요.