CVE-2026-59310: VMware-vCenter-Lücke wird aktiv für Persistenz missbraucht

Schritt für Schritt
So lief der Angriff ab
Klicken Sie auf eine Phase für Details – oder lassen Sie die Animation durchlaufen.
PHASE 1/5 · Erstzugriff

Angreifer nutzen die kritische Directory-Traversal-Lücke in aus dem Internet erreichbaren vCenter-Servern für den unauthentifizierten Erstzugriff.

T1190 – Exploit Public-Facing Application
  • CVE-2026-59310, CVSS 9,8, Path-Traversal (CWE-22) im Syslog-Server von vCenter
  • Kein Login nötig (AV:N/AC:L/PR:N/UI:N), Angriff über das Netzwerk, geringe Komplexität
  • Erste Kompromittierungen am 3. August 2026, nur fünf Tage nach der Offenlegung
  • Enge zeitliche Kopplung: Advisory-Veröffentlichung diente offenbar als Startsignal
PHASE 2/5 · Ausführung

Über die Lücke führen die Angreifer beliebigen Code auf der zentralen vCenter-Appliance aus.

T1059 – Command and Scripting Interpreter
  • Broadcom: "A malicious actor with network access to vCenter may exploit this issue to execute arbitrary code."
  • Betroffen ist die zentrale Verwaltungsebene für vSphere-Umgebungen
  • Auch eingebettete vCenter-Komponenten in Cloud Foundation, vSphere Foundation und Telco Cloud betroffen
PHASE 3/5 · Persistenz

Ein bösartiger Cronjob wird eingerichtet, um dauerhaften Zugang zu sichern.

T1053.003 – Scheduled Task/Job: Cron
  • Zeitgesteuerter Linux-Cronjob führt Angreiferbefehle wiederholt aus
  • Von QUIRSO nach Incident-Response-Untersuchung dokumentiert
  • NHS England National CSOC bestätigt beobachtete Reverse-SSH-Persistenz
PHASE 4/5 · Command-and-Control / Verschleierung

Der Cronjob startet reverse_ssh und hält einen ausgehenden Fernzugang aufrecht, um Firewall-Regeln zu umgehen.

T1219 – Remote Access Software T1090 – Proxy
  • reverse_ssh ist ein legitimes Open-Source-Tool, dessen bloße Präsenz kein Beweis ist
  • Ausgehende Verbindung umgeht Firewalls, die oft nur eingehenden Verkehr blockieren
  • Kompromittierte Systeme kontaktieren die Angreifer-Infrastruktur
  • Befund muss mit weiteren Indikatoren korreliert werden (QUIRSO)
PHASE 5/5 · Auswirkung

Über die kompromittierte zentrale Verwaltungsebene gewinnen die Angreifer breite Kontrolle über die virtualisierte Infrastruktur, mit weltweit hunderten Opfersystemen.

  • Bis zu 361 eindeutige Opfer-IP-Adressen in 47 Ländern (keine Unternehmens- oder Datensatzzahl)
  • 185 der 361 IPs in den Top-5-Ländern: Deutschland, USA, Türkei, Iran, Frankreich
  • Rund 95 % (343 von 361) der IPs bereits bis 5. August 2026 aufgetaucht
  • NHS England: weitere Ausnutzung wird als wahrscheinlich bewertet
Kurz & knapp beantwortet
Häufige Fragen zu diesem Vorfall
Bin ich von CVE-2026-59310 betroffen?
Sie sind betroffen, wenn Sie VMware vCenter Server einsetzen – eigenständig oder als Komponente von VMware Cloud Foundation, vSphere Foundation, Telco Cloud Platform oder Telco Cloud Infrastructure. Betroffen sind direkte vCenter-Versionen 9.1.x.x vor 9.1.0.0300, 9.0.x.x vor 9.0.2.0100 und 8.0 ohne den jeweiligen Fix. Eine gewöhnliche Website ohne vCenter ist durch diese CVE nicht direkt verwundbar, kann aber mittelbar gefährdet sein, wenn die zugrundeliegende Infrastruktur über ein ungepatchtes vCenter verwaltet wird.
Wie prüfe ich, ob meine vCenter-Version verwundbar ist?
Ermitteln Sie den tatsächlichen Server-Build mit dem Befehl vpxd -v auf der Appliance oder über die Management-Oberfläche unter https://<VC_FQDN>:5480. Verlassen Sie sich nicht nur auf die Versionsanzeige im vSphere-Client, da diese laut Broadcom vom tatsächlichen Build abweichen kann. Gleichen Sie Build und Produktzweig anschließend mit der Response Matrix in VMSA-2026-0006.1 ab.
Was muss ich jetzt tun?
Patchen Sie Ihr vCenter unverzüglich auf die in VMSA-2026-0006.1 genannte Fixed Version, da die Lücke bereits aktiv ausgenutzt wird. Beschränken Sie zusätzlich die Erreichbarkeit des vCenter-Managementzugangs aus dem Internet – dies ersetzt den Patch aber nicht. Wenn Sie vCenter über einen Dienstleister oder Hoster betreiben, fragen Sie aktiv nach dem Patch-Status nach.
Wie erkenne ich, ob mein System bereits kompromittiert wurde?
Lassen Sie IT, SOC oder Incident-Response nach unautorisierten Cronjobs, unerwarteten reverse_ssh-Installationen und ungewöhnlichen ausgehenden Verbindungen suchen. QUIRSO stellt dafür eine generische YARA-Regel als Ermittlungsansatz bereit. Wichtig: Die bloße Anwesenheit von reverse_ssh ist noch kein Angriffsbeweis, da es sich um ein legitimes Open-Source-Tool handelt – ein Fund muss mit weiteren Indikatoren korreliert werden.
Wie gefährlich ist die Lücke und wird sie wirklich ausgenutzt?
Die Lücke hat einen CVSS-Wert von 9,8 von 10 (kritisch) und erlaubt Angreifern ohne vorherige Anmeldung, über das Netzwerk beliebigen Code auszuführen. Die aktive Ausnutzung ist von QUIRSO und dem NHS England National CSOC bestätigt, das weitere Ausnutzung als wahrscheinlich einschätzt. Bereits fünf Tage nach der Offenlegung begannen die Angriffe, und bis zum 5. August waren rund 95 Prozent der 361 später identifizierten Opfer-IP-Adressen erschienen.
Weitere Security-News
Das könnte Sie auch interessieren
Kritische Elementor-Pro-Lücke: Angreifer können WordPress-Seiten komplett übernehmen
Ein Datei-Upload-Bug in Elementor Pro bis 4.2.1 erlaubt RCE ohne Login. Version 4.2.2 schließt die Lücke – jetzt aktualisieren!
Pods-Plugin: Kritische Lücke erlaubt Admin-Übernahme ohne Login
Eine kritische Schwachstelle im WordPress-Plugin Pods lässt Angreifer ohne Login Admin-Passwörter überschreiben. Über 100.000 Sites betroffen.
miniOrange SAML SSO: Kritischer Bypass macht Angreifer zu WordPress-Admins
Zwei kritische Auth-Bypässe im miniOrange SAML SSO Plugin erlauben gefälschte SAML Assertions – bis hin zum vollen Admin-Zugriff.