摘要：CVE-2026-59310 是 VMware vCenter Server 内嵌 Syslog 服务中的一个高危目录遍历漏洞，CVSS 评分为 9.8，已被 CISA 列入已知被利用漏洞（KEV）清单。攻击者无需身份验证，仅需通过网络可达 vCenter 的 Syslog 端口，即可构造特殊路径穿越请求，可能造成任意文件写入，并进一步实现远程代码执行。由于 vCenter 是 vSphere 虚拟化架构的核心管理组件，该漏洞一旦被利用，将直接威胁企业虚拟化基础设施的机密性、完整性和可用性。

📌 漏洞概述

CVE ID：CVE-2026-59310
CVSS 评分：9.8（Critical）
漏洞类型：目录遍历（Path Traversal / CWE-22）
影响产品：Broadcom VMware vCenter Server（内嵌 Syslog 服务）
受影响版本：根据 CISA KEV 信息及 VMware 安全公告，具体受影响版本尚未完全公开，但大量历史 vCenter 版本均可能受影响。建议管理员立即排查并跟进官方更新信息。

该漏洞位于 vCenter 的 Syslog 服务器组件中。Syslog 是网络设备、服务器等系统用于日志收集的标准协议，默认使用 UDP/TCP 514 端口。vCenter 内置 Syslog 服务用于集中收集 ESXi 主机及虚拟化组件的日志。由于该服务暴露于网络，且漏洞触发不需要任何身份验证，因此 CVSS 评分高达 9.8，属于可远程利用的严重漏洞。

🔬 漏洞根因分析

从 CVE 描述和公开的 PoC 项目（如 HORKimhab/CVE-2026-59310）可以推测，漏洞根源在于 vCenter Syslog 服务在接收、解析、存储日志消息时，对日志内容中的文件路径或标识字段缺乏严格的规范化与验证。

Syslog 协议（RFC 3164 及 RFC 5424）允许消息中包含主机名、tag、msg 等字段。某些实现会依据客户端 IP、主机名或 tag 字段构造日志文件的存储路径。例如：/var/log/vmware/syslog/<hostname>/messages.log。如果服务端直接拼接用户可控的 hostname 或 tag 值，并且未过滤 ../ 等路径穿越序列，攻击者就可以构造类似 ../../../../etc/cron.d/backdoor 的内容，使 Syslog 服务将日志消息写入服务器上的任意位置。

从 PoC 描述来看，其检测方式正是构造包含路径穿越序列的 Syslog 请求，观察是否能够写出一个探测文件，以此验证目标是否存在漏洞。这意味着漏洞在数据写入层面被触发——攻击者不仅可以穿越目录，还可以控制写入文件的内容（Syslog 消息体），这为后续的代码执行创造了非常有利的条件。

具体而言，攻击者可以执行以下步骤实现远程代码执行：

• 路径穿越：通过 Syslog 消息中的恶意 hostname/tag 字段，将写入路径从预期的日志目录跳出到任意目录。
• 内容注入：利用 Syslog 消息体的可控内容，向目标文件写入攻击者指定的数据。例如，向 /etc/cron.d/<name> 写入 crontab 规则，或者向 Web 应用目录写入 Webshell，甚至覆盖系统服务的配置脚本。
• 代码触发：写入的恶意文件被系统或服务自动执行。cron 定时任务是最常见的触发方式，攻击者可以设定重启或定时执行命令，从而在目标系统上获得任意命令执行能力。

从架构上看，vCenter 通常以 root 权限运行服务，因此目录遍历导致的文件写入往往拥有高权限，攻击者能够覆盖系统关键文件，例如 /etc/shadow、SSH 授权密钥或动态链接库，从而直接获取系统 shell。该漏洞的严重性不仅在于目录遍历本身，更在于其结合了任意内容写入与高权限运行环境，使远程代码执行变得切实可行。

值得注意的是，即便只是进行文件写入，攻击者也可以通过覆盖系统配置或利用 vCenter 中的其他文件包含、加载机制形成攻击链。CISA 将其列入 KEV，说明在野利用已经发生，且攻击者已经具备成熟的利用方法。

💥 影响与危害

• 远程任意代码执行：攻击者可以在 vCenter 服务器上以 root 身份执行任意命令，完全控制 vCenter 操作系统。
• 虚拟化基础设施沦陷：vCenter 是管理 ESXi 主机、虚拟机、存储和网络的单一控制点。一旦被控制，攻击者可关闭虚拟机、更改虚拟机配置、窃取虚拟机和主机凭据，甚至创建后门虚拟机。
• 横向移动跳板：vCenter 网络位置特殊，通常可访问管理网络与存储网络。攻击者可据此渗透到其他系统，扩大攻击范围。
• 数据泄露与勒索：攻击者可访问 vCenter 数据库中的敏感配置信息、加密密钥和用户凭据，也可能加密或删除虚拟机快照，实施勒索。
• 持久化风险：由于 vCenter 的运维特性，管理员很难发现被植入的后门文件，攻击者可通过修改 vCenter 服务实现长期驻留。

鉴于 CVSS 9.8 的评分及 CISA KEV 的收录，该漏洞已经被实际利用，任何暴露于不可信网络的 vCenter 实例都处于高度风险之中。

🛡️ 修复与缓解

补丁升级：Broadcom（原 VMware）已发布针对该漏洞的安全更新。所有 vCenter Server 用户应立即查看官方安全公告，并升级到包含修复的版本，或应用官方发布的临时补丁。在未确认安全版本之前，建议将 vCenter 视为已受损，进行全面的入侵痕迹检查。

网络层缓解：

• 严格限制对 vCenter Syslog 服务（UDP/TCP 514 端口）的网络访问，仅允许受信任的 ESXi 主机和日志源连接。
• 使用防火墙或安全组将 vCenter 管理平面与外部网络隔离，避免将 Syslog 服务暴露到互联网或非信任区域。
• 若 Syslog 服务不需要对公网开放，应立即在边界设备上阻断 514 端口的入站流量。

系统层加固：

• 监控 Syslog 端口的异常连接，排查日志文件中是否存在路径穿越特征（如 ..%2f、../../）。
• 检查 vCenter 服务器文件系统中是否存在可疑的新增文件，特别是 /etc/cron.d/、/tmp/、Web 目录等常见写入位置。
• 对 vCenter 服务器进行安全基线核查，限制文件系统关键目录的写权限，并启用 SELinux/AppArmor 等强制访问控制机制。

应急响应：由于漏洞已被在野利用，如果确认或怀疑系统中招，应参考 CISA 提供的“取证分流要求”（Forensics Triage Requirements），对系统进行快照和日志采集，并及时联系安全厂商进行事件响应。在完成安全加固和补丁安装前，不应重新将 vCenter 接入网络。

总之，企业应遵循 BOD 26-04 指南，优先处理已知被利用漏洞的补丁更新，同时评估暴露面并部署必要的缓解控制。没有补丁的情况下，唯一的缓解方式是彻底断开相关服务的网络暴露。

🧪 PoC 复现

从 GitHub 公开仓库抓取的实际 PoC 代码（仓库）。

📋 代码元数据语言md来源HORKimhab/CVE-2026-59310针对性✅ 已验证与漏洞相关（代码含 CVE 引用）依赖见代码注释/README用法详见代码注释中的使用说明

# CVE-2026-59310

**English** |[한국어](README_KO.md)

## Description

VMware vCenter contains a directory traversal vulnerability in the Syslog server. A malicious actor with network access to vCenter may exploit this issue to execute arbitrary code.

## Vulnerability Details

|Property |Value ||----------|-------||**CVE ID** |CVE-2026-59310 ||**Type** |PATH_TRAVERSAL ||**CVSS Score** |9.8 |
## Proof of Concept

### Download

```bash
# Download PoC script
curl -O https://raw.githubusercontent.com/fankh/vulnerability-poc/main/2026/CVE-2026-59310/poc.py
```

### Usage

```bash
# Run PoC against target
python3 poc.py --target <TARGET_URL># With authentication
python3 poc.py --target <TARGET_URL>--username <USER>--password <PASS>
```

⚠️ **Warning**: This PoC is for authorized security testing only. It uses detection-only techniques and does not exploit or damage target systems.

## Test Lab

This repository includes a Docker-based test environment with both vulnerable and patched applications.

### Quick Start

```bash
# Clone and navigate to CVE directory
cd CVE-2026-59310

# Start both applications
docker-compose up -d

# Run tests
./run-tests.sh    # Linux/Mac
./run-tests.ps1   # Windows PowerShell
```

### Application Endpoints

|
Application |URL |Status ||-------------|-----|--------||**Vulnerable App** |http://localhost:8080 |Shows vulnerability ||**Patched App** |http://localhost:8081 |Demonstrates fix |
### Directory Structure

```
├── README.md           # English documentation
├── README_KO.md        # Korean documentation
├── poc.py              # PoC detection script
├── docker-compose.yml  # Container orchestration
├── run-tests.sh        # Linux/Mac test runner
├── run-tests.ps1       # Windows test runner
├── vulnerable-app/     # Vulnerable version
│   ├── app.py
│   ├── Dockerfile
│   └── requirements.txt
└── patched-app/        # Fixed version
    ├── app.py
    ├── Dockerfile
    └── requirements.txt
```

## References

- https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/38017

---

*Generated by PoC Generator on 2026-08-02T10:52:22.882165808*

⚔️ EXP 利用代码

截至分析时，Exploit-DB 未收录该 CVE 的公开利用代码。可利用上述 PoC 进行验证，或关注 Exploit-DB 更新。

🕵️ 检测指纹

当前规则库未收录针对该 CVE 的专用检测规则。建议：

• 根据漏洞根因编写 Nuclei 检测模板
• 在 WAF/IDS 中配置针对漏洞特征的规则
• 关注漏洞指纹库更新

🤖 本文由漏洞情报系统自动聚合生成 · 2026-08-19 02:15 · 数据源: NVD/GitHub-Advisory/OSV/CISA-KEV/Exploit-DB/PoC-in-GitHub + 检测规则库