VMware vCenter: Kritische Lücke CVE-2026-59310 wird aktiv angegriffen – Deutschland im Fokus

Eine kritische Schwachstelle in VMware vCenter (CVE-2026-59310, CVSS 9.8) wird derzeit aktiv und in großem Stil ausgenutzt. Angreifer können ohne Anmeldung aus der Ferne Schadcode auf dem vCenter-Server ausführen – und deutsche Systeme stehen dabei besonders im Fokus. Wer VMware zur Virtualisierung einsetzt und noch nicht gepatcht hat, sollte das kurzfristig nachholen.

Was ist passiert?

Broadcom hat die Lücke am 29. Juli 2026 im Advisory VMSA-2026-0006.1 geschlossen. Es handelt sich um eine Directory-Traversal-Schwachstelle im Syslog-Dienst von vCenter: Ein Angreifer mit Netzwerkzugriff auf das vCenter kann sie ohne gültige Zugangsdaten ausnutzen und beliebigen Code ausführen.

Bereits fünf Tage nach Veröffentlichung – ab dem 3. August 2026 – begannen die ersten Angriffe. Sicherheitsforscher der deutschen Firma Quirso haben eine weltweite Kampagne kartiert: Über 361 kompromittierte IP-Adressen in 47 Ländern. Nach der Ausnutzung richten die Angreifer über einen Cron-Job dauerhaften Zugriff ein und nutzen dafür das Open-Source-Tool reverse_ssh, um eine Verbindung zu ihrer Infrastruktur aufzubauen. Deutschland zählt zu den fünf am stärksten betroffenen Ländern.

Wer ist betroffen?

Betroffen sind VMware-vCenter-Server der Branches 8.0, 9.0 und 9.1 ohne den aktuellen Patch. Da VMware vSphere in vielen kleinen und mittleren Unternehmen die Grundlage der Server-Virtualisierung bildet, ist die Angriffsfläche breit. Besonders kritisch: Wer sein vCenter-Management-Interface direkt oder indirekt aus dem Internet erreichbar hat, ist unmittelbar gefährdet.

Was jetzt zu tun ist

1. vCenter patchen. Laut Broadcom-Advisory auf eine der bereinigten Versionen aktualisieren: 9.1.0.0300, 9.0.2.0100 bzw. 8.0 U3k oder 8.0 U2f (je nach Branch). Dies hat oberste Priorität.
2. Zugriff einschränken. vCenter-Management niemals direkt aus dem Internet erreichbar machen. Zugriff auf ein separates Management-Netz bzw. VPN begrenzen.
3. Auf Kompromittierung prüfen. Nach unbekannten Cron-Jobs, reverse_ssh-Prozessen und ungewöhnlichen ausgehenden Verbindungen suchen – rückwirkend mindestens ab dem 3. August 2026.
4. Logs sichern und auswerten. vCenter- und Firewall-Logs auf verdächtige Zugriffe und Path-Traversal-Muster durchsehen.
5. Im Ernstfall Notfallplan ziehen. Bei Anzeichen einer Kompromittierung betroffene Systeme isolieren und einen strukturierten Incident-Response-Prozess starten – ein reines Nachpatchen genügt dann nicht.

So hilft Binary System Services

Wir übernehmen für Ihre VMware-Umgebung das zeitnahe Patch-Management, härten den Zugriff auf Management-Schnittstellen ab und überwachen Ihre Systeme auf verdächtige Aktivitäten. Falls bereits etwas passiert ist, unterstützen wir bei der Kompromittierungs-Prüfung und der Notfallreaktion. Sprechen Sie uns an.

Angaben ohne Gewähr. Im Zweifel bitte die offizielle Quelle prüfen.