一、漏洞描述
近日，工作发现VMware vCenter 存在CVE-2026-59310 未授权远程代码执行漏洞（CVSS 9.8，严重）。该漏洞为vCenter 的Syslog接收服务对传入日志数据包未做路径校验，攻击者只要网络可达vCenter syslog端口（514 TCP/UDP、6514TLS-syslog），无需账号、无需登录认证，发送恶意数据包即可实现远程代码执行，直接控制vCenter 服务器本体。利用成功后，攻击者可接管整个虚拟化管理平台，横向控制集群内全部ESXi 主机与虚拟机，可加密业务部署勒索病毒、窃取教务、财务、科研等校内敏感数据，对高校虚拟化基础设施造成毁灭性破坏。
二、影响范围
VMware vCenter Server 虚拟化管理平台，VMware CloudFounda tion、vSphere Foundation、VMware Telco Cloud Platform 配套vCenter 组件受该漏洞影响。
三、安全建议
1.紧急升级官方安全补丁
受影响单位参照博通VMware 安全公告VMSA-2026-0006 执行补丁升级：vCenter8 .0 升级至8.0 U3k；9.1.x 升级9.1.0.0300；9.0.x升级9.0.2.0100；Cloud Founda tion5 .x 部署异步补丁；电信云平台参照KB449886 操作。升级前完整备份vCenter 配置与数据库，优先在测试环境验证兼容性后再部署生产环境。
2.网络边界收紧（仅临时防护，不可替代补丁）
vCenter sysl og 端口514 (TCP/UDP)、加密syslog 端口6514 禁止直接暴露互联网。sysl og 端口仅允许校内ESXi 等可信日志源IP 进行访问，拒绝其他来源地址；配置防火墙策略最小化访问源，降低被攻击风险。
3.入侵痕迹全面排查
对vCenter 设备开展安全核查：
检查服务器/tmp、Web 应用目录是否存在陌生脚本、异常文件；
排查系统新增账号、未知SSH 密钥、异常定时任务、对外异常出站连接；
审计syslog、vCenter 系统日志，检索路径遍历特征、异常数据包访问记录；
开启完整审计日志，转发至SIEM 安全平台留存，便于事后溯源分析。
4.备份与账号加固
校验vCenter 配置、虚拟机备份的完整性，重要业务使用离线不可变备份；清理系统冗余账号，vCenter、ESXi 管理员账号使用高强度复杂密码，杜绝弱口令。
5.梳理校内虚拟化资产台账
全面摸排校内vCenter、ESXi 资产，登记版本、开放端口、部署位置；完成版本核查，定期开展漏洞扫描，落实常态化补丁管理机制。
6.应急处置要求
若确认系统已经被入侵，第一时间隔离受影响vCenter 主机，断开业务网络，清除恶意程序，恢复可信备份镜像，按照教育行业网络安全事件处置流程完成上报。
