又一个满分漏洞，敲在数据中心最要害的位置

2026 年 8 月，美国网络安全与基础设施安全局（CISA）把四个漏洞同时列入了「已知被利用漏洞」（KEV）目录，措辞一致：正在被积极利用。其中最刺眼的，是 VMware vCenter 身上的 CVE-2026-59310——一个评级 CVSS 9.8 的满分漏洞，路径遍历缺陷允许攻击者仅凭网络访问，就在目标系统上执行任意代码。

vCenter 是什么？它是 VMware 虚拟化体系的管理中枢，几乎所有企业数据中心的 ESXi 主机、虚拟机、存储与网络，都要通过它统一调度。换句话说，vCenter 一旦失守，攻击者拿到的不是一台服务器，而是一把能打开整个数据中心大门的钥匙。也正因如此，vCenter 的漏洞每次曝光，都会在企业安全圈引发一阵恐慌——而这一次，恐慌很快被证实不是多余的。

漏洞机理：一条路径穿越，直通最高权限

从技术层面看，CVE-2026-59310 的本质，是一个路径遍历（path traversal）漏洞。所谓路径遍历，指的是程序在处理文件路径时，没有对用户输入做严格校验，导致攻击者可以用 ../ 之类的序列「跳出」预设目录，访问或改写本不该触及的文件。

在 vCenter 这个具体场景里，路径遍历的后果被放大到了最严重的等级——远程代码执行。拥有网络访问权限的攻击者，无需任何有效凭证，就能借助这个缺陷向 vCenter 投递并执行恶意代码。CVSS 9.8 这个分数，意味着漏洞同时满足了「无需认证、无需用户交互、直接远程利用」这三个最危险的条件，攻击门槛被压到了最低。

对攻击者而言，vCenter 的诱惑远不止「能执行命令」这么简单。作为虚拟化的管理平面，vCenter 天然拥有对底层宿主机的控制能力。一旦拿下 vCenter，攻击者就可以创建虚拟机、迁移工作负载、篡改快照、窃取磁盘镜像，甚至在虚拟化层植入难以被传统杀软察觉的持久化后门。这正是为什么安全界常说：攻破 vCenter，往往意味着攻破了整个虚拟化基础设施。

攻击链条：APT 后门与勒索软件的接力

这次漏洞被利用的过程，清晰地展现了现代攻击的「接力」形态。根据多家安全机构的分析，CVE-2026-59310 先是被一个疑似与中国有关联的 APT（高级持续性威胁）组织利用。该组织借此在受害者的 vCenter 上部署后门，并植入 reverse_ssh 二进制，建立起对目标系统的持久化远程访问通道。

APT 的意图通常是长期潜伏与情报窃取，但事情并没有停留在这一步。在至少一个案例中，攻击链最终演变成了勒索——一个衍生自 Babuk 家族的勒索软件，在 vCenter 被攻破之后落地，对虚拟化环境中的数据实施加密勒索。这意味着，同一个入口，既服务于国家级情报机构的隐蔽渗透，也服务于追求快速变现的勒索团伙。

这种「APT 开路、勒索跟进」的接力，是当下最令人不安的趋势之一。它模糊了「国家级攻击」与「网络犯罪」之间的传统界限：APT 组织发现的漏洞和打下的通道，最终可能被转手、复用或模仿，成为勒索攻击的现成跳板。对企业而言，防御的对手不再是一类，而是一个盘根错节的攻击生态。

361 台主机、47 个国家：一张触目惊心的受害地图

这次攻击的规模，从统计数据里可见一斑。据安全机构汇总，相关活动已经波及 361 个独立受害者 IP 地址，横跨 47 个国家。其中感染最集中的地区依次是德国（55）、美国（41）、土耳其（38）、伊朗（26）和法国（25）。

这份受害名单的分布，透露出几个值得注意的信息。其一，受害者并非集中于某一类机构，而是覆盖了多个国家的不同行业，说明攻击者采用的是广撒网式的扫描与利用，而非针对特定目标的手工渗透。其二，德国、美国等信息化程度高、虚拟化部署密集的国家首当其冲，恰恰印证了「越依赖虚拟化，越暴露在 vCenter 风险之下」的逻辑。

更重要的是，这些被统计到的 IP，很可能只是冰山一角。许多受害者在漏洞被利用后并未及时察觉，也没有对外披露，真实的波及范围可能远比公开数据更大。这提醒我们，在评估这类漏洞的破坏力时，不能只看「已确认」的数字，还要警惕水面之下未被发现的部分。

同一个八月，四大高危漏洞集体「被利用」

把视野放宽一点，CVE-2026-59310 并不是这个 8 月唯一被盯上的目标。CISA 在同一个批次里，还同时列入了另外三个正在被利用的高危漏洞：

苹果 macOS 的 CVE-2026-65400（CVSS 9.8），一个屏幕共享功能中的认证缺陷，允许攻击者无需有效凭证就接入屏幕共享，已被用于投递门罗币挖矿程序；微软 SharePoint 的 CVE-2026-55040（CVSS 9.1），弱认证漏洞可被未授权攻击者绕过安全特性；以及微软 Internet Key Exchange（IKE）服务扩展中的 CVE-2026-33824（CVSS 9.8），双重释放漏洞允许未授权远程代码执行。

四个漏洞，横跨虚拟化、桌面操作系统、企业协作与网络协议，却有一个共同点：它们都位于企业 IT 的「管理面」或「基础面」，一旦失守，影响是全局性的。这并非巧合。攻击者越来越清楚，与其费力攻破一个个终端应用，不如直接拿下那些掌管全局的管理中枢——vCenter、身份系统、协作平台。这种「打蛇打七寸」的攻击策略，正在重塑企业防御的重点。

为何 vCenter 反复被盯上：被忽视的管理面

一个值得深思的问题是：为什么 vCenter 会反复成为攻击的目标？答案藏在企业 IT 治理的一个长期盲区里——管理面（management plane）的安全，常常被严重低估。

在日常运维中，vCenter 这样的管理平台往往被当作「内部工具」看待，安全投入远不如面向业务的系统。很多企业的 vCenter 为了运维方便，被暴露在公网或弱隔离的网段；管理员的密码疏于轮换；补丁更新因为「怕影响生产」而一再拖延。这些看似琐碎的疏忽，累积起来，就把一个本应是「安全核心」的系统，变成了「最脆弱的入口」。

虚拟化技术带来的一切便利，也放大了被攻破的代价。传统物理服务器时代，攻破一台服务器最多影响一台机器；而在虚拟化时代，一台 vCenter 背后可能承载着成百上千台虚拟机。攻击者用一次路径遍历，就能撬动过去需要攻破整个机房才能取得的战果。这种「杠杆效应」，让 vCenter 的每一次失守，都成倍地放大了损失。

怎么办：把管理面当作第一优先级

面对 vCenter 反复被攻破的现实，防御的思路必须从根本上调整。CISA 已经要求美国联邦民事行政部门在 8 月 21 日之前完成修复，并遵循 BOD 26-04 的补丁管理规范——这种紧迫感，值得所有企业效仿。

第一，把 vCenter 纳入最高优先级的补丁队列。管理面的漏洞，修复优先级应当高于大多数业务系统，因为它的失守是全局性的。第二，严格收缩暴露面。vCenter 绝不应当直接暴露在公网，必须通过 VPN、跳板机或严格的网络访问控制来隔离。第三，加强管理面的身份与凭证管理，落实最小权限、定期轮换和多因素认证。

更深一层，企业需要建立一种「管理面即第一道防线」的认知。虚拟化的本质，是把「控制一切」的能力集中到了一个点上；既然如此，这个点就必须被当作最核心的资产来保护。vCenter 的满分漏洞是一记响亮的警钟——当攻击者学会了「打七寸」，企业的防线就不能再有任何一块被忽视的软肋。

poc https://github.com/fankh/vulnerability-poc/tree/main/2026/CVE-2026-59310