Una vulnerabilità critica di VMware vCenter, corretta a fine luglio, è ora sfruttata anche da gruppi ransomware. Il punto non è solo tecnico: se il server che governa la virtualizzazione viene compromesso, un attaccante può aprire la porta a dati, macchine virtuali e servizi aziendali essenziali.
Per una PMI o uno studio professionale il messaggio è semplice: se usate VMware vCenter e non avete verificato gli aggiornamenti nelle ultime settimane, la priorità è farlo subito. Quando una falla passa dall’essere “teorica” a finire nei circuiti del ransomware, il rischio operativo cresce rapidamente.
Cosa è successo
Il 15 settembre 2026 CISA, l’agenzia statunitense per la cybersicurezza, ha segnalato che la vulnerabilità CVE-2026-59310 di VMware vCenter è attivamente sfruttata anche da gruppi ransomware.
La falla era stata corretta da Broadcom il 29 luglio 2026. Secondo quanto comunicato dal vendor, si tratta di una vulnerabilità critica di directory traversal nel server Syslog di vCenter, sfruttabile da un attaccante senza autenticazione per arrivare all’esecuzione di codice arbitrario. In altre parole: non serve rubare prima un account amministrativo per tentare l’attacco.
Già nelle settimane successive alla patch erano emersi segnali concreti di compromissione. Una società specializzata in digital forensics e incident response, QUIRSO, aveva riportato il ritrovamento di oltre 361 indirizzi IP compromessi in 47 Paesi, collegando gli attacchi a un attore sospettato di tipo APT che usava la vulnerabilità per installare un tool di reverse SSH e mantenere accesso remoto persistente.
Successivamente CISA aveva inserito la CVE nel proprio catalogo delle Known Exploited Vulnerabilities (KEV), imponendo alle agenzie governative USA di mettere in sicurezza i sistemi vCenter entro tre giorni. Nel fine settimana precedente alla notizia del 15 settembre, l’agenzia ha aggiornato nuovamente il catalogo specificando che la stessa falla risulta ormai usata anche in campagne ransomware.
Il quadro è aggravato dal fatto che, secondo Shadowserver, risultano ancora oltre 450 server VMware vCenter esposti online. Non è noto quanti siano già stati corretti.
Perché VMware vCenter è un bersaglio così delicato
vCenter non è un normale server applicativo. È il punto di controllo di un’infrastruttura virtuale: da lì si amministrano host, macchine virtuali, configurazioni e in molti casi una parte importante dell’operatività aziendale.
Chi riesce a compromettere questo livello non ottiene soltanto un accesso a un singolo sistema. Può potenzialmente:
- raggiungere più server virtuali da una posizione privilegiata;
- muoversi più facilmente nella rete interna;
- accedere a dati aziendali sensibili;
- interrompere o cifrare servizi critici in modo molto più rapido;
- colpire i backup se non sono ben separati.
Non sorprende quindi che i criminali puntino a VMware. Negli ultimi anni diversi gruppi ransomware hanno sviluppato strumenti specifici per cifrare ambienti virtualizzati, perché molte aziende concentrano proprio lì i dati e i processi più importanti.
Non è un caso isolato
La nuova allerta non arriva nel vuoto. La stessa CISA ha già segnalato, nel corso del 2026, altre vulnerabilità VMware sfruttate in attacchi reali, fra cui falle in VMware Aria Operations e VMware vCenter Server. Inoltre, a febbraio aveva avvertito che gruppi ransomware stavano sfruttando anche una vulnerabilità di escape dalla sandbox di VMware ESXi.
Il dato più significativo è storico: negli ultimi cinque anni, CISA ha classificato 26 vulnerabilità VMware come sfruttate attivamente “in the wild”, e 9 di queste risultano usate anche in operazioni ransomware.
Questo cambia il modo in cui un’azienda dovrebbe leggere la notizia. Non siamo davanti a un episodio eccezionale destinato a sparire in pochi giorni, ma a un pattern ormai chiaro: gli ambienti di virtualizzazione sono obiettivi prioritari perché permettono di fare molto danno in poco tempo.
Cosa significa per la tua azienda
Se nella tua organizzazione è presente VMware vCenter, questa notizia va trattata come una priorità operativa, non come un semplice aggiornamento IT.
Ecco cosa fare in pratica.
1) Verifica subito se la patch è stata applicata
Non dare per scontato che l’aggiornamento sia stato fatto “a suo tempo”. In molte aziende gli avvisi vengono letti, pianificati e poi rinviati per compatibilità, ferie, finestre di manutenzione o semplice sovraccarico del team interno.
Serve un controllo puntuale su:
- versione installata di vCenter;
- presenza della correzione rilasciata il 29 luglio 2026;
- eventuale esposizione del sistema verso Internet;
- log e indicatori di accessi anomali nelle settimane successive.
Se non hai certezza documentata, considera il sistema a rischio finché non viene verificato.
2) Se vCenter è esposto online, riduci immediatamente la superficie di attacco
Un server di gestione così critico non dovrebbe essere raggiungibile pubblicamente se non in casi davvero necessari e con forti controlli compensativi. Se l’accesso dall’esterno è ancora attivo, valuta subito restrizioni come VPN, segmentazione, whitelist IP e separazione amministrativa.
Ridurre l’esposizione non sostituisce la patch, ma può abbassare il rischio nell’immediato.
3) Controlla se ci sono tracce di compromissione, non solo se “funziona tutto”
Il fatto che i server siano accesi e i servizi regolarmente operativi non significa che siano puliti. Le attività riportate nelle fonti includono l’uso di reverse SSH per persistenza e accesso remoto: un indicatore tipico di compromissioni che possono restare silenziose prima di trasformarsi in estorsione o cifratura.
Per questo è importante verificare:
- attività insolite nei log di vCenter e degli host connessi;
- nuove connessioni remote non spiegate;
- account amministrativi anomali o modifiche inattese;
- movimenti laterali o strumenti di amministrazione usati fuori orario;
- integrità dei sistemi di backup.
4) Metti al sicuro i backup in modo realistico
Quando viene colpita l’infrastruttura di virtualizzazione, il rischio non riguarda solo i server di produzione ma anche la possibilità di recupero. Se i backup sono raggiungibili con gli stessi privilegi o dalla stessa rete, possono diventare a loro volta un bersaglio.
Per una PMI la regola pratica è semplice: i backup devono essere separati, verificati e ripristinabili. Non basta avere “un NAS che salva tutto”. Se vuoi rafforzare questa parte, una soluzione di remote backup ben progettata riduce il rischio che un singolo incidente renda inutili anche le copie di sicurezza.
5) Formalizza il processo di patching per i sistemi critici
Questa vicenda mostra un problema ricorrente: tra il rilascio della patch e la sua installazione passano settimane, e in quel tempo la vulnerabilità viene industrializzata dagli attaccanti.
Per evitare che accada di nuovo, conviene distinguere i sistemi “importanti” da quelli davvero critici per il business: hypervisor, console di gestione, firewall, VPN, posta, backup, identity management. Per questi asset serve una procedura più rapida, con responsabilità chiare e tempi massimi di intervento.
Se manca una governance strutturata dell’infrastruttura, un servizio di desktop e infrastruttura IT management o un contratto di assistenza informatica può aiutare a trasformare gli aggiornamenti urgenti da attività occasionale a processo continuativo.
6) Coinvolgi direzione e responsabili operativi
Quando il tema è vCenter, il rischio non riguarda solo “i server”. Riguarda la continuità aziendale. È utile quindi che la direzione sappia almeno tre cose:
- se il sistema è stato corretto;
- se ci sono evidenze di esposizione o compromissione;
- quanto tempo servirebbe per ripristinare i servizi se l’ambiente virtuale venisse cifrato.
Questo consente decisioni più rapide su manutenzioni urgenti, finestre di fermo e priorità di spesa.
Il vero insegnamento: il tempo conta più della teoria
Spesso le vulnerabilità vengono percepite come notizie lontane, finché non si traducono in un attacco concreto. Qui il passaggio è già avvenuto: da patch urgente a sfruttamento attivo, fino all’interesse diretto dei gruppi ransomware.
Per un’azienda italiana la lezione non è solo “aggiornare VMware”. È capire che gli asset centrali dell’infrastruttura devono essere trattati con una disciplina diversa dal normale software d’ufficio. Su questi sistemi, ogni rinvio allunga una finestra di esposizione che gli attaccanti conoscono benissimo.
Se il tuo ambiente è piccolo, il rischio non è minore: spesso è semplicemente meno monitorato. E proprio per questo può risultare più facile da colpire.
Domande frequenti
Se abbiamo VMware ma non sappiamo se usiamo vCenter, dobbiamo preoccuparci?
Sì. Va verificato subito quali componenti VMware sono in uso, chi li gestisce e se esiste una console vCenter in produzione. L’incertezza, in questi casi, è già un problema organizzativo.
Basta applicare la patch per considerarsi al sicuro?
No sempre. La patch è il primo passo, ma se il sistema è rimasto esposto dopo il 29 luglio 2026 conviene controllare anche eventuali segni di compromissione precedente.
Il rischio riguarda solo le grandi aziende?
No. I gruppi ransomware colpiscono anche PMI e studi professionali, soprattutto quando trovano infrastrutture poco presidiate, patch in ritardo e backup non isolati.