Broadcom stufte CVE-2026-59310 als kritisch ein: Die Directory-Traversal-Schwachstelle im Syslog-Server von VMware vCenter erlaubt nicht authentifizierten Angreifern die Ausführung beliebigen Codes. Der Patch erschien am 29. Juli, begleitet von einer ergänzenden FAQ, in der Broadcom die Behebung ausdrücklich als Notfall bezeichnete.
Dass die Warnung berechtigt war, zeigte sich rasch. Zwei Wochen später meldete das DFIR-Unternehmen QUIRSO, es habe über 361 kompromittierte IP-Adressen in 47 Ländern gefunden. Dahinter vermuten die Analysten einen fortgeschrittenen, dauerhaft agierenden Angreifer (APT), der die Lücke ausnutzte, um ein Reverse-SSH-Werkzeug zu platzieren und sich so dauerhaften Fernzugriff zu sichern.
Wenige Tage darauf trug CISA die Schwachstelle in ihren Katalog bekannter ausgenutzter Schwachstellen ein und verpflichtete US-Behörden, ihre vCenter-Installationen innerhalb von drei Tagen abzusichern. Über das Wochenende folgte die nächste Aktualisierung des Katalogs: Die Lücke gilt nun zusätzlich als aktiv von Ransomware-Gruppen missbraucht.
Details zu diesen Erpressungsangriffen hat die Behörde bislang nicht veröffentlicht. VMware-Systeme sind für Angreifer aus naheliegenden Gründen attraktiv: Kompromittierte vCenter- oder ESXi-Server öffnen den Weg in das Netzwerk einer Organisation und zu sensiblen Daten auf internen Systemen. Mehrere Ransomware-Gruppen haben in den vergangenen Jahren eigene Verschlüsselungsprogramme speziell für VMware-Umgebungen entwickelt, da Unternehmen ihre Daten dort verwalten und speichern.
Shadowserver, ein Dienst zur Beobachtung von Bedrohungen im Internet, zählt derzeit mehr als 450 aus dem Internet erreichbare VMware-vCenter-Server. Wie viele davon bereits gepatcht sind, geht aus den Daten nicht hervor.
Die aktuelle Meldung reiht sich in eine längere Serie ein. Bereits im Februar warnte CISA davor, dass Ransomware-Gruppen eine Sandbox-Ausbruchslücke in VMware ESXi (CVE-2025-22225) ausnutzen; chinesischsprachige Angreifer attackierten diese Schwachstelle spätestens seit Februar 2024 als Zero-Day. Seit Jahresbeginn markierte die Behörde zudem im Februar und März Schwachstellen in VMware Aria Operations (CVE-2026-22719) und im VMware vCenter Server (CVE-2024-37079) als in Angriffen ausgenutzt.
In den vergangenen fünf Jahren hat CISA insgesamt 26 VMware-Schwachstellen als aktiv ausgenutzt eingestuft. Neun davon wurden auch von Ransomware-Operationen missbraucht.