VMware vCenter unter Beschuss: Kritische RCE wird aktiv ausgenutzt

Eine kritische Sicherheitslücke in VMware vCenter wird aktiv für Angriffe auf Unternehmensinfrastrukturen ausgenutzt. CVE-2026-59310 ermöglicht Angreifern mit Netzwerkzugriff auf vCenter die Ausführung beliebigen Codes – ohne vorherige Authentifizierung. Broadcom bewertet die Schwachstelle mit CVSS 9,8 von 10. Sicherheitsforscher haben bereits Hunderte kompromittierte IP-Adressen identifiziert, darunter auffällig viele in Deutschland.

Für Unternehmen bedeutet das: Wer vCenter noch nicht aktualisiert hat, sollte unmittelbar handeln. Wer bereits gepatcht hat, muss zusätzlich prüfen, ob ein Angreifer möglicherweise schon vorher Zugriff erlangt und Persistenz eingerichtet hat.

Schwachstelle steckt im vCenter-Syslog-Server

CVE-2026-59310 ist eine Directory-Traversal-Schwachstelle im Syslog-Server von VMware vCenter. Ein Angreifer benötigt laut Broadcom lediglich Netzwerkzugriff auf das System, um die Lücke ausnutzen und beliebigen Code ausführen zu können. Eine Benutzerinteraktion oder vorherige Anmeldung ist nicht erforderlich.

Broadcom veröffentlichte am 29. Juli 2026 Sicherheitsupdates und aktualisierte den Sicherheitshinweis am 3. August. Einen Workaround gibt es nicht.

Für vCenter nennt Broadcom derzeit unter anderem folgende korrigierte Versionen:

• vCenter 9.1: 9.1.0.0300
• vCenter 9.0: 9.0.2.0100
• vCenter 8.0 U3: 8.0 U3k
• vCenter 8.0 U2: 8.0 U2f

Betroffen sind abhängig von der Version außerdem VMware Cloud Foundation, vSphere Foundation sowie verschiedene Telco-Cloud-Produkte.

Angriffe begannen nur wenige Tage nach dem Patch

Die Geschwindigkeit der Angreifer ist besonders bemerkenswert.

Nach Untersuchungen des deutschen Incident-Response-Unternehmens QUIRSO begannen kompromittierte Systeme bereits am 3. August mit Infrastruktur der Angreifer zu kommunizieren. Zwischen Veröffentlichung des Patches und beobachteter Ausnutzung lagen damit lediglich fünf Tage.

Bis zum 7. August identifizierten die Forscher insgesamt 361 kompromittierte IP-Adressen in 47 Ländern. Davon entfielen 55 auf Deutschland. Die Cybersicherheitsagentur Baden-Württemberg weist deshalb darauf hin, dass Deutschland innerhalb der beobachteten Daten das am stärksten betroffene Land war.

Die Zahl darf allerdings nicht mit 361 Unternehmen gleichgesetzt werden. Eine IP-Adresse lässt keine eindeutige Aussage darüber zu, wie viele Organisationen oder physische Systeme tatsächlich betroffen sind. Auch die Cybersicherheitsagentur Baden-Württemberg macht auf diese Einschränkung ausdrücklich aufmerksam.

Angreifer richten dauerhaften Fernzugriff ein

Bei den untersuchten Angriffen blieb es nicht beim initialen Eindringen.

Nach der Kompromittierung installierten Angreifer unter anderem das Open-Source-Werkzeug reverse_ssh. Damit lässt sich vom kompromittierten System aus eine ausgehende SSH-Verbindung zu externer Infrastruktur herstellen. Auf diese Weise können Angreifer einen dauerhaften Remote-Zugang schaffen und zugleich Sicherheitsmaßnahmen umgehen, die primär eingehende Verbindungen kontrollieren.

Genau daraus ergibt sich eine wichtige Konsequenz für IT-Teams: Ein nachträglich installiertes Update beseitigt eine bereits eingerichtete Persistenz nicht automatisch.

Unternehmen, die vCenter erst nach Beginn der Angriffswelle aktualisiert haben oder deren Systeme von nicht vertrauenswürdigen Netzen erreichbar waren, sollten deshalb nicht nur den Patch-Stand prüfen. Zusätzlich ist ein gezieltes Threat Hunting nach ungewöhnlichen Prozessen, Dateien, Benutzerkonten und ausgehenden Netzwerkverbindungen sinnvoll.

Angreifer erreichen offenbar auch ESXi-Systeme

Neue forensische Erkenntnisse vom 17. August 2026 zeigen, wie weit ein erfolgreicher Angriff auf die Managementebene reichen kann.

Bei einem detailliert untersuchten Vorfall beobachteten die Forscher nach der vCenter-Kompromittierung weitere Aktivitäten innerhalb der VMware-Umgebung. Dabei wurden unter anderem administrative Zugänge angelegt und schließlich ESXi-Systeme erreicht. Auf diesen kam eine von Babuk abgeleitete Ransomware zum Einsatz, die Dateien mit der Endung .babyk verschlüsselte.

Diese Beobachtung sollte allerdings nicht verallgemeinert werden. Die detaillierte forensische Analyse bezieht sich bislang auf einen untersuchten kompromittierten Fall. Es ist weder belegt, dass auf allen identifizierten Systemen Ransomware eingesetzt wurde, noch steht fest, dass Verschlüsselung das Hauptziel der gesamten Kampagne darstellt.

Gerade diese Einschränkung ist entscheidend: Bestätigt ist eine aktive, breit beobachtete Ausnutzung von CVE-2026-59310. Der Einsatz der Ransomware ist bislang ein zusätzlicher Befund aus einem untersuchten Angriff.

Zweite kritische vCenter-Lücke erhöht das Risiko

Im selben Sicherheitsupdate behebt Broadcom noch eine weitere kritische vCenter-Schwachstelle.

CVE-2026-59309 betrifft den VMware Directory Service und ermöglicht unter bestimmten Voraussetzungen eine Umgehung der Authentifizierung. Auch diese Schwachstelle bewertet Broadcom mit CVSS 9,8. Einen Workaround gibt es ebenfalls nicht.

Bei der aktuellen forensischen Untersuchung wurden zudem Aktivitäten gefunden, die mit einer Ausnutzung dieser zweiten Lücke übereinstimmen könnten. Auf einem untersuchten System wurde unter anderem ein nicht autorisiertes administratives Konto angelegt. Die Forscher behandeln diese Aktivität jedoch getrennt von der bestätigten Angriffskette über CVE-2026-59310.

Unternehmen sollten deshalb sicherstellen, dass ihre Updates beide kritischen Schwachstellen abdecken.

Warum vCenter ein besonders attraktives Ziel ist

vCenter ist kein gewöhnlicher Anwendungsserver. Die Plattform bildet die zentrale Managementebene vieler VMware-Infrastrukturen.

Über vCenter verwalten Administratoren virtuelle Maschinen, ESXi-Hosts, Konfigurationen und Berechtigungen. Eine Kompromittierung dieser Ebene kann deshalb wesentlich größere Auswirkungen haben als der Angriff auf eine einzelne virtuelle Maschine.

Die aktuelle Angriffskette macht dieses Risiko sichtbar: Angreifer können über die Managementplattform Persistenz aufbauen, Zugangsdaten und administrative Rechte erlangen und sich anschließend tiefer in die Virtualisierungsinfrastruktur bewegen.

Für Unternehmen, die große Teile ihrer Serverlandschaft auf VMware betreiben, gehört vCenter damit zu den besonders schützenswerten Managementsystemen.

Was Unternehmen jetzt prüfen sollten

Für IT- und Security-Verantwortliche ergeben sich aus der Angriffswelle drei unmittelbare Prioritäten.

Erstens: Patch-Stand prüfen. Betroffene vCenter-Systeme sollten schnellstmöglich auf eine von Broadcom als korrigiert ausgewiesene Version aktualisiert werden. Die Cybersicherheitsagentur Baden-Württemberg empfiehlt aufgrund der erfolgreichen Ausnutzung ausdrücklich eine schnelle Installation der Herstellerupdates.

Zweitens: Netzwerkzugriff auf vCenter begrenzen. Eine Managementplattform dieser Bedeutung sollte nur aus klar definierten administrativen Netzen erreichbar sein. Da für CVE-2026-59310 Netzwerkzugriff ausreicht, reduziert eine konsequente Segmentierung die potenzielle Angriffsfläche erheblich. Die Notwendigkeit von Netzwerkzugriff als Voraussetzung für die Ausnutzung bestätigt Broadcom.

Drittens: Nach einer möglichen Kompromittierung suchen. Besonders Systeme, die zwischen dem 29. Juli und der Installation des Updates erreichbar waren, sollten auf ungewöhnliche ausgehende Verbindungen, neue administrative Konten, verdächtige Dateien und andere Persistenzmechanismen untersucht werden. Die beobachteten Angriffe mit reverse_ssh zeigen, dass die Täter gezielt dauerhaften Zugriff einrichten.

Fazit

CVE-2026-59310 ist für VMware-Betreiber keine theoretische Schwachstelle mehr. Die kritische vCenter-Lücke wird aktiv ausgenutzt, und zwischen Patch-Veröffentlichung und beobachteten Angriffen lagen nur wenige Tage. Deutschland gehört innerhalb der bislang ausgewerteten Daten zu den besonders stark betroffenen Ländern.

Für IT-Entscheider liegt die wichtigste Erkenntnis deshalb nicht allein im sofortigen Patchen.

vCenter ist eine zentrale Vertrauens- und Managementebene der Virtualisierungsinfrastruktur. Wird diese kompromittiert, können Angreifer ihre Position nutzen, um sich tiefer in das Rechenzentrum vorzuarbeiten.

Wer erst jetzt aktualisiert, sollte deshalb zweigleisig vorgehen: Schwachstelle schließen und gleichzeitig prüfen, ob jemand bereits durch die offene Tür gegangen ist.