Ciò che preoccupava maggiormente i nostri clienti non era solo il ransomware in sé, ma la consapevolezza di continuare a eseguire carichi di lavoro critici su versioni obsolete di VMware che non potevano più aggiornare con le normali procedure. Una volta che si crea questa falla, ogni giorno diventa un rischio per la sicurezza.
Per molti team IT, il ransomware non è più una possibilità remota. È una realtà operativa che può interrompere l’attività aziendale in poche ore, non in settimane. Tale rischio diventa ancora più immediato quando l’infrastruttura alla base dei carichi di lavoro principali dipende da versioni software obsolete, vulnerabili o difficili da mantenere completamente aggiornate.
Ecco perché gli ultimi avvertimenti sullo sfruttamento delle vulnerabilità di VMware sono così importanti. Nel febbraio 2026, BleepingComputer ha riportato che la CISA aveva confermato che bande di ransomware stavano sfruttando una vulnerabilità di evasione dalla sandbox di VMware ESXi ad alta gravità, la CVE-2025-22225, precedentemente utilizzata in attacchi zero-day. La falla era stata corretta da Broadcom nel marzo 2025, ma l’incidente ha messo in luce una dura realtà del settore: quando le organizzazioni continuano a utilizzare infrastrutture obsolete o non supportate, il divario tra una soluzione pubblicata e il rischio effettivo può diventare pericolosamente ampio.
Questo problema si presenta in un momento in cui molte organizzazioni si trovano già a dover affrontare ben più della semplice gestione delle vulnerabilità. Devono infatti anche gestire le scadenze del ciclo di vita del prodotto, i cambiamenti delle politiche di supporto, le pressioni sul budget e la complessità operativa di mantenere sicuri gli ambienti di virtualizzazione legacy senza interrompere l’attività aziendale.
Il problema politico: quando le patch non sono più un'opzione
Per molte organizzazioni, l’ostacolo all’applicazione delle patch non è più rappresentato solo dai tempi di inattività o dai costi operativi. Si tratta di conformità alle licenze.
In seguito all’acquisizione di VMware da parte di Broadcom, il panorama del supporto per le licenze perpetue (a riscatto) è cambiato radicalmente. Il problema principale è che se la tua versione di VMware non è più supportata e non sei passato a un modello di abbonamento, ti è legalmente e tecnicamente impedito di ricevere patch ufficiali.
Consideriamo la situazione che molti clienti si trovano ad affrontare oggi:
- Utenti di vSphere 7.x: il supporto generale è terminato a ottobre 2025. Il prodotto è ora in una fase di “assistenza tecnica” (fino a ottobre 2027), che non prevede il rilascio di nuove patch di sicurezza.
- vSphere 6.x e versioni precedenti: queste versioni hanno superato da tempo la data di fine del supporto generale (EoGS).
- Clienti con contratti di manutenzione scaduti: anche su versioni supportate come vSphere 8.x, se il contratto di manutenzione è scaduto, non è più possibile ricevere aggiornamenti. Come dimostrato in casi eclatanti come quello del rivenditore Tesco , ai clienti viene comunicato che non possono installare gli aggiornamenti a meno che non passino a un abbonamento.
Questo crea un paradosso terrificante: i sistemi più vulnerabili sono quelli bloccati su versioni non supportate, per le quali non saranno disponibili patch future. Gli aggressori lo sanno. Scansionano i sistemi alla ricerca di versioni obsolete e non aggiornabili, sapendo che la vulnerabilità CVE-2021-21974 (e altre simili) rappresenta una porta aperta permanente.
Anatomia di un attacco a un sistema non aggiornato
L’attacco ransomware ESXiArgs è un esempio da manuale di exploit “lento e graduale” che diventa devastante se non contrastato. Come dimostra la nostra analisi, l’attacco si sviluppa in fasi ben definite una volta ottenuto l’accesso iniziale tramite la vulnerabilità CVE-2021-21974:
- Accesso iniziale (CVE-2021-21974): l’attaccante sfrutta l’overflow dell’heap nel servizio OpenSLP tramite la porta UDP 427 per ottenere l’esecuzione di codice in remoto.
- Distribuzione: i file dannosi (encrypt, encrypt.sh, public.pem) vengono inseriti nella directory /tmp/.
- Rilevamento e crittografia: il ransomware enumera tutti i volumi di archiviazione, prendendo di mira i file critici delle macchine virtuali come .vmdk (dischi virtuali), .vmx (configurazione delle VM) e .vswp (file di swap). Utilizza una combinazione dell’algoritmo Sosemanuk e della crittografia RSA per bloccare i file.
- Elusione delle difese: per impedire il ripristino, elimina i registri di sistema, le attività pianificate e i file di backup.
- Nota di riscatto: lascia nel sistema il file How to Restore Your Files.html, richiedendo un pagamento.
Per le organizzazioni che utilizzano versioni di VMware non supportate, i “suggerimenti di risoluzione” forniti dai tradizionali avvisi, come l’aggiornamento a una versione patchata, non sono semplicemente un’opzione praticabile. Rimangono loro solo due possibilità: pagare il riscatto (cosa assolutamente sconsigliata) o perdere i propri dati.
Costruire un futuro resiliente: la sicurezza oltre il ciclo di aggiornamento
Questo incidente mette in luce un cambiamento cruciale nella strategia IT: non ci si può più permettere di gestire un’infrastruttura incapace di ricevere aggiornamenti di sicurezza. Affidarsi al ciclo di patch di un fornitore, soprattutto quando tale ciclo è ora vincolato a un modello di abbonamento con rigide condizioni di licenza, crea un singolo punto di vulnerabilità per l’intera postura di sicurezza.
Per i clienti dei nostri partner e per qualsiasi organizzazione che si trovi ad affrontare questa sfida, è giunto il momento di valutare alternative che integrino la sicurezza fin dalle fondamenta, anziché considerarla un’opzione aggiuntiva.
Sangfor Virtualization offre una soluzione promettente per il futuro. Basato sul principio dell’integrazione della sicurezza , Sangfor Hypervisor non è solo una piattaforma per l’esecuzione di macchine virtuali, ma una soluzione completa per data center che pone la sicurezza al centro di tutto.
Ecco come Sangfor affronta la causa principale del problema ESXiArgs:
- Sicurezza e infrastruttura unificate: a differenza del modello frammentato di un hypervisor di terze parti che richiede strumenti di sicurezza separati, Sangfor HCI integra nativamente funzionalità anti-ransomware, firewall di nuova generazione e microsegmentazione. Questo approccio “integrato, non aggiunto in un secondo momento” significa che le policy di sicurezza sono parte integrante dell’infrastruttura stessa.
- Rilevamento proattivo delle minacce: la nostra piattaforma sfrutta l’intelligenza artificiale e l’analisi comportamentale per rilevare in tempo reale le attività dei ransomware, come la crittografia di massa dei file o la cancellazione dei backup, bloccando gli attacchi prima che possano causare danni.
- Eliminare la trappola della dipendenza dalle patch: con Sangfor, non si è più alla mercé delle politiche di patch di un fornitore terzo per l’hypervisor principale. Gli aggiornamenti di sicurezza fanno parte di uno stack software unificato e gestibile, garantendo che l’infrastruttura rimanga resiliente senza complessi ostacoli di licenza.
- Operazioni semplificate: la migrazione da un ambiente VMware legacy a Sangfor HCI semplifica il data center. Si riducono la complessità delle licenze, il costo totale di proprietà (TCO) e si ottiene un’unica interfaccia centralizzata per la gestione di risorse di calcolo e sicurezza.
- Tecnologia e servizi combinati: sfruttate l’esperienza in materia di sicurezza dei nostri servizi MDR per monitorare la vostra infrastruttura virtuale alla ricerca di potenziali attività ransomware. I nostri sensori per endpoint e reti si integrano nativamente con HCI e forniscono ai nostri servizi MDR la visibilità necessaria per rilevare e rispondere a qualsiasi incidente di sicurezza. Questo trasforma la nostra soluzione da una semplice soluzione di virtualizzazione a un’esperienza completa di elaborazione sicura.
Cosa puoi fare ora
| Azione | Percorso VMware | Sentiero Sangfor |
| 1. Fai il primo passo | Contatta il tuo partner o rappresentante commerciale VMware per discutere le opzioni di licenza. | Contattate Sangfor oggi stesso per valutare il vostro attuale ambiente VMware e identificare i rischi. |
| 2. Valuta il tuo piano di aggiornamento | Aggiorna il tuo abbonamento e il modello di licenza prima di ricevere qualsiasi patch. | Ottieni un piano di migrazione personalizzato, completo di un ambiente demo perfettamente funzionante. |
| 3. Applicare soluzioni a breve termine | Scarica le patch se la tua licenza lo consente ancora. | Passa a Sangfor Virtualization, con sicurezza integrata che non si basa su cicli di patch frammentati. |
| 4. Ripristinare le operazioni | Risolvere gli incidenti in modo reattivo, spesso dopo che il danno è stato fatto. | Abilita la prevenzione proattiva grazie all’integrazione di anti-ransomware, rilevamento tramite intelligenza artificiale e micro-segmentazione. |
L’attacco ESXiArgs è ben più di una semplice campagna ransomware; è il sintomo di un modello operativo obsoleto. Le organizzazioni che si aggrappano a sistemi legacy non supportati e “non aggiornabili” non solo accettano un rischio, ma si espongono al disastro.
Passando a una piattaforma come Sangfor Virtualization, dove la sicurezza è parte integrante e costantemente aggiornata dell’infrastruttura, potrete finalmente spezzare il circolo vizioso delle vulnerabilità e dell’esposizione a licenze non valide. Non aspettate che il prossimo inevitabile attacco, che sfrutterà una vecchia vulnerabilità, vi costringa ad adottare un nuovo approccio.
Articolo:
Autore: Sangfor Blog
