Penyerang terpantau aktif memindai instance VMware vCenter yang terekspos setelah pengungkapan VMSA-2026-0006, terutama terkait CVE-2026-59309 dan CVE-2026-59310. Broadcom menerbitkan advisory awal pada 29 Juli 2026 dan memperbaruinya pada 3 Agustus 2026, sementara laporan scanning ini dipublikasikan pada 11 Agustus 2026. Pada saat laporan terbit, aktivitas ini diposisikan sebagai early warning dan belum menjadi konfirmasi exploitation publik. Severity: High 

Penyerang melakukan fingerprinting ke endpoint /sdk/ dengan request RetrieveServiceContent dan mengecek path /websso untuk menemukan target vCenter yang terbuka. Setelah target teridentifikasi, attacker berpotensi memanfaatkan CVE-2026-59309 untuk auth bypass pada VMware Directory Service atau CVE-2026-59310 untuk directory traversal yang dapat berujung pada arbitrary code execution. 

1. Pindahkan segera semua instance vCenter yang internet-facing atau reachable dari untrusted network, ke jaringan intranet yang terbatas.
2. Terapkan patch resmi Broadcom ke fixed version yang relevan secepat mungkin; Broadcom menyatakan tidak ada workaround yang dapat menggantikan patching.
3. Monitor dan review log web, reverse proxy, firewall, dan vCenter untuk request mencurigakan ke /sdk/ dan /websso, termasuk authentication event aneh, akun baru, perubahan permission, dan koneksi manajemen yang tidak dikenal.
4. Terapkan defense-in-depth seperti MFA untuk admin dan isolasi management plane agar exposure berkurang bila ada sistem yang masih belum dipatch.