CVE-⁠2026-⁠59310: Kritische vCenter-⁠Lücke jetzt auch von Ransomware-⁠Gruppen ausgenutzt — so prüfen Sie Ihre vCenter-⁠Server jetzt

Eine im Juli geschlossene Sicherheitslücke in VMware vCenter klingt nach einem Fall, der für die meisten Unternehmen längst erledigt sein sollte, und für die meisten ist das auch so. Wer seinen vCenter-⁠Server aber noch nicht aktualisiert hat, steht jetzt vor einem deutlich ernsteren Problem: Nach Angaben der US-⁠Cybersicherheitsbehörde CISA nutzen inzwischen auch Ransomware-⁠Gruppen die Schwachstelle CVE-⁠2026-⁠59310 aktiv aus. Dass für den Angriff kein gültiges Konto, kein Login und keine Insiderkenntnisse nötig sind, macht die Lücke besonders gefährlich — ein Angreifer kann allein über das Netzwerk beliebigen Code ausführen.

Was ist passiert?

Broadcom schloss CVE-⁠2026-⁠59310 am 29. Juli 2026. Betroffen ist der Syslog-⁠Dienst von vCenter: Eine Directory-Traversal-Schwachstelle erlaubt es unauthentifizierten Angreifern, beliebigen Code auf dem Server auszuführen. Broadcom stufte die Lücke in einer ergänzenden FAQ selbst als Notfall ein und riet Kunden, das Update sofort einzuspielen. Zwei Wochen später meldete die Forensik-⁠ und Incident-⁠Response-⁠Firma QUIRSO, dass ein mutmaßlicher APT-⁠Akteur die Lücke bereits ausnutzte: Über 361 IP-⁠Adressen in 47 Ländern galten als kompromittiert, die Angreifer installierten dabei ein Reverse-⁠SSH-⁠Tool für dauerhaften Fernzugriff. Wenige Tage später nahm CISA die Lücke in ihren Known-Exploited-Vulnerabilities-Katalog auf und verpflichtete US-⁠Bundesbehörden, ihre vCenter-⁠Systeme innerhalb von drei Tagen abzusichern. Am vergangenen Wochenende aktualisierte CISA den Katalogeintrag erneut und markierte die Lücke nun zusätzlich als aktiv von Ransomware-⁠Gruppen ausgenutzt.

Was ist belegt?

Belegt ist der KEV-⁠Eintrag selbst: CISA bestätigt die Ausnutzung durch Ransomware-⁠Akteure, nennt bislang aber keine konkrete Gruppe und keine technischen Details zur verwendeten Verschlüsselungssoftware. Der Sicherheitsmonitor Shadowserver, eine gemeinnützige Organisation, die ihre Scandaten kostenlos bereitstellt, zählt aktuell über 450 aus dem Internet erreichbare vCenter-⁠Server. Der Fall reiht sich in ein bekanntes Muster ein: VMware-⁠Produkte sind ein wiederkehrendes Ziel, weil kompromittierte vCenter-⁠ oder ESXi-⁠Server Zugriff auf das gesamte Netzwerk und die dort gespeicherten Unternehmensdaten geben können. CISA hat in den vergangenen fünf Jahren 26 VMware-⁠Schwachstellen als aktiv ausgenutzt eingestuft, neun davon zusätzlich im Zusammenhang mit Ransomware. Erst im Februar warnte die Behörde vor einer ESXi-⁠Sandbox-⁠Escape-⁠Lücke (CVE-⁠2025-⁠22225), die nach eigenen Angaben bereits seit Februar 2024 von chinesischsprachigen Akteuren in Zero-⁠Day-⁠Angriffen genutzt wurde, dazu kamen im Februar und März Warnungen zu VMware Aria Operations (CVE-⁠2026-⁠22719) und einer älteren vCenter-⁠Lücke (CVE-⁠2024-⁠37079).

Was ist derzeit unklar?

Offen ist, welche Ransomware-⁠Gruppe oder -Gruppen konkret hinter den neuen Angriffen stehen und ob es sich um dieselben Akteure handelt, die zuvor das Reverse-⁠SSH-⁠Tool eingesetzt haben. Auch zur Zahl der bislang tatsächlich verschlüsselten Umgebungen liegen keine öffentlich bestätigten Angaben vor. Ebenso unklar bleibt, wie viele der über 450 exponierten vCenter-⁠Server bereits gepatcht sind, Shadowserver liefert dazu nach eigenen Angaben derzeit keine Daten.

Was das für Ihren Betrieb bedeutet

Wenn Ihr vCenter-⁠Server aus dem Internet erreichbar ist oder auch nur aus einem größeren internen Netz ohne strikte Segmentierung, sollten Sie den Patch-⁠Stand jetzt prüfen, nicht erst beim nächsten Wartungsfenster. Prüfen Sie zusätzlich, ob der Syslog-⁠Dienst überhaupt von außen erreichbar sein muss, in vielen Umgebungen lässt sich der Zugriff über Firewall-⁠Regeln oder ein separates Management-⁠Netz einschränken, sofern keine komplexen Abhängigkeiten bestehen. Da die APT-⁠Kampagne bereits im August ein Reverse-⁠SSH-⁠Tool zur Persistenz genutzt hat, lohnt zusätzlich ein Blick in die Logs auf ungewöhnliche SSH-⁠Verbindungen oder unbekannte Prozesse rund um den Syslog-⁠Dienst, auch wenn der Patch inzwischen eingespielt wurde. Ein einzelner kompromittierter vCenter-⁠Host reicht oft aus, um Zugriff auf sämtliche darüber verwalteten virtuellen Maschinen zu bekommen, genau das macht die jetzige Ransomware-⁠Nutzung so ernst.

Quellen: BleepingComputer — „CISA: Critical VMware RCE flaw now exploited by ransomware gangs“ (https://www.bleepingcomputer.com/news/security/cisa-critical-vmware-vcenter-rce-flaw-now-exploited-by-ransomware-gangs/)