VMware ESXi, vCenter und Workstation: Mehrere Schwachstellen — was Administratoren jetzt tun sollten

Das CERT-Bund hat mit WID-SEC-2026-2569 eine neue Warnung zu VMware-Produkten veröffentlicht — betroffen sind ESXi, vCenter Server, Workstation und Fusion. Auf den ersten Blick klingt das nach einem weiteren Patch-Donnerstag. Es ist aber mehr: Das Spektrum der Angriffsszenarien reicht von Denial of Service über Informationsabfluss bis hin zur Privilegienerweiterung — also genau die Kombination, die Angreifern erlaubt, sich tiefer in eine Infrastruktur einzugraben, als es auf den ersten Blick erscheint.

VMware — inzwischen unter dem Dach von Broadcom — bleibt eine der meistgenutzten Virtualisierungsplattformen in mittelständischen Rechenzentren. Wer Terminal-Server, Fileserver oder Produktivumgebungen auf ESXi-Hosts betreibt, hat Systeme im Haus, die direkt betroffen sein könnten.

Was ist passiert?

Das CERT-Bund hat mehrere Schwachstellen in folgenden VMware-Produkten gemeldet:

• VMware ESXi
• VMware vCenter Server
• VMware Workstation
• VMware Fusion

Die Schwachstellen ermöglichen laut Advisory je nach Ausprägung:

• Denial of Service (Dienste zum Absturz bringen oder Ressourcen erschöpfen)
• Offenlegung von Informationen (lesende Zugriffe auf geschützte Daten)
• Umgehung von Sicherheitsmechanismen
• Privilegienerweiterung (aus einem unprivilegierten Kontext heraus höhere Rechte erlangen)

Was ist belegt, was bleibt offen?

Das CERT-Bund hat das Advisory mit dem Schweregrad „hoch“ eingestuft. Die genauen CVE-Nummern, betroffenen Versionsstände und verfügbaren Patches sind im Advisory unter WID-SEC-2026-2569 aufgeführt — dort findet sich auch eine aktuelle Auflistung der betroffenen Softwareversionen, die sich im Lauf eines Advisory ändern kann.

Öffentlich bekannte aktive Exploits waren zum Zeitpunkt der Meldung nicht gelistet. Das kann sich jedoch schnell ändern: Schwachstellen in ESXi und vCenter stehen regelmäßig auf der Prioritätsliste professioneller Angreifer, weil ein kompromittierter Hypervisor potenziell Zugriff auf alle darauf laufenden virtuellen Maschinen bietet.

Was das für Ihre Umgebung bedeutet

Privilegienerweiterung in Verbindung mit Informationsabfluss ist kein abstraktes Risiko. In einer Produktivumgebung heißt das konkret: Ein Angreifer, der bereits einen Fuß in einer VM hat — oder einen kompromittierten Account nutzt — könnte mit solchen Lücken die Isolation zwischen virtuellen Maschinen aushebeln und sich lateral bewegen.

Besonders relevant ist das in Umgebungen, wo ESXi-Hosts ohne zusätzliche Netzwerksegmentierung betrieben werden oder wo Management-Interfaces wie vCenter oder der ESXi-Host-Client aus dem internen Netz ohne Firewall erreichbar sind. Das ist häufiger der Fall als man annehmen würde — und es senkt den Aufwand für einen Angreifer erheblich.

Was Sie jetzt konkret tun sollten

1. Versionsstände prüfen: Auf welcher ESXi- und vCenter-Version laufen Ihre Hosts? Der ESXi-Host-Client zeigt die Version unter „Host“ → „Verwalten“ → „System“; auf der Shell liefert `vmware -v` die Information.

2. Advisory lesen: Welche konkreten Versionen sind betroffen, welche Patches stehen bereit? Das CERT-Bund-Advisory WID-SEC-2026-2569 listet beides aktuell — dort ist auch zu sehen, ob Einträge zwischenzeitlich ergänzt wurden.

3. Update einplanen: Wenn Ihre Version betroffen ist, empfehlen wir, das Update nicht auf das nächste reguläre Wartungsfenster zu verschieben. Schweregrad „hoch“ mit Privilegienerweiterung gehört auf die Prioritätsliste dieser Woche — nicht der nächsten.

4. Management-Interfaces absichern: Unabhängig von diesem Advisory gilt: vCenter und ESXi-Hosts sollten niemals ohne Zugangsbeschränkung aus dem internen Netz erreichbar sein. Ein separates Management-VLAN mit strikten Firewall-Regeln ist keine Kür, sondern Grundschutz.

Aus unserer Sicht

VMware/Broadcom veröffentlicht Sicherheitspatches — die Frage ist, wie schnell sie in produktiven Umgebungen landen. In vielen Fällen werden vCenter-Updates verschoben, weil sich ein „kurzes Maintenance Window“ nicht so leicht findet. Das ist verständlich, aber bei Privilegienerweiterung auf Hypervisor-Ebene ein kalkuliertes Risiko, das wir nicht empfehlen.

Wer auf Proxmox VE setzt, ist von diesem Advisory nicht direkt betroffen — Proxmox hat einen eigenen Patch-Zyklus und nutzt einen anderen Hypervisor-Stack (KVM/QEMU). VMware-Umgebungen dagegen sollten jetzt handeln.

Quellen: CERT-Bund — „[NEU] [hoch] VMware Produkte: Mehrere Schwachstellen“ (https://wid.cert-bund.de/portal/wid/securityadvisory?name=WID-SEC-2026-2569)