Broadcom hat am 29. Juli 2026 das Sicherheitsadvisory VMSA-2026-0006 veröffentlicht. Darin steckt eine vCenter Sicherheitslücke, die Administratoren nicht ignorieren dürfen: CVE-2026-59309 erlaubt Angreifern mit Netzwerkzugriff auf den vCenter Server, die Authentifizierung komplett zu umgehen. Der CVSS-Score liegt bei 9,8 von 10 – höher geht es kaum.
Warum diese vCenter Sicherheitslücke so gefährlich ist
Die Schwachstelle sitzt im VMware Directory Service (vmdir), dem Verzeichnisdienst hinter vCenter. Gelingt der Auth-Bypass, steht Angreifern die gesamte Management-Ebene offen. Dann lassen sich virtuelle Maschinen, gespeicherte Daten und angebundene Workloads kontrollieren. Anders gesagt: Wer vCenter übernimmt, kontrolliert faktisch das ganze virtuelle Rechenzentrum. Genau deshalb ist der Verzeichnisdienst ein so lohnendes Ziel.
Klartext ins Postfach
KI, Security & Crypto – die wichtigsten Analysen, kein Spam. Jederzeit abbestellbar.
Broadcom stuft CVE-2026-59309 als „kritisch” ein. Immerhin gibt es nach aktuellem Stand keine Hinweise auf eine Ausnutzung in freier Wildbahn. Ein Grund zum Zögern ist das aber nicht. Bei einem Score von 9,8 und einem öffentlich dokumentierten Advisory ist der Zeitdruck hoch.
Fünf Schwachstellen in einem Advisory
VMSA-2026-0006 bündelt insgesamt fünf Schwachstellen mit CVSS-Werten zwischen 2,7 und 9,8. Betroffen sind vCenter, ESX, Workstation, Fusion, VMware Cloud Foundation sowie mehrere Telco-Cloud-Produkte:
- CVE-2026-59309 (CVSS 9,8): Authentifizierungs-Bypass im vCenter-Verzeichnisdienst.
- CVE-2026-59310 (CVSS 9,8): Directory-Traversal im vCenter-Syslog-Server, ermöglicht unauthentifizierte Remote Code Execution.
- CVE-2026-47876: Out-of-bounds-Write in der VMXNET3-Komponente von ESX.
- CVE-2026-41703: Out-of-bounds-Read in ESX, Workstation und Fusion.
- CVE-2026-41709: unzureichendes Logging in ESX.
Besonders die ESX-Lücken verdienen Aufmerksamkeit. Ein Out-of-bounds-Write wie in CVE-2026-47876 kann im schlimmsten Fall den Weg für einen Ausbruch aus der virtuellen Maschine auf den Hypervisor ebnen. Genau dieses Szenario – der Sprung von einer kompromittierten VM auf den Host – ist in Multi-Tenant- und Cloud-Umgebungen das Worst-Case-Ereignis. Betreiber sollten die Updates deshalb nicht nur für vCenter, sondern für den gesamten Stack einspielen.
Was Admins jetzt tun sollten
Der wichtigste Schritt ist simpel: patchen. Broadcom stellt für die betroffenen Produkte Updates bereit. Bis die Aktualisierung durch ist, gilt die alte CISO-Regel – Management-Schnittstellen gehören nicht ins offene Netz. vCenter, ESXi-Hosts und der Verzeichnisdienst sollten strikt segmentiert und nur aus einem gesicherten Admin-Netz erreichbar sein. Das verkleinert die Angriffsfläche für genau solche Auth-Bypass-Lücken.
Ebenfalls sinnvoll ist ein Blick auf Logging und Monitoring. CVE-2026-41709 betrifft ausgerechnet die Protokollierung in ESX, und lückenhafte Logs erschweren die spätere Analyse eines Vorfalls erheblich. Wer jetzt patcht, sollte deshalb gleich prüfen, ob sicherheitsrelevante Ereignisse zuverlässig in der zentralen Auswertung landen.
Der Fall reiht sich in eine Serie kritischer Lücken in Management-Konsolen ein. Erst kürzlich traf es die Check Point SmartConsole mit CVE-2026-16232 – ebenfalls ein Authentifizierungs-Bypass. Das Muster ist deutlich: Wer die Verwaltungsebene übernimmt, braucht keine weiteren Exploits mehr.
Quellen
- Broadcom/VMware: Security Advisory VMSA-2026-0006
- The Hacker News: Three Critical VMware Flaws Allow Auth Bypass, Code Execution, and VM Escape
- SecurityWeek: Critical VM Escape Vulnerability Patched in VMware ESXi
Diese Analysen als Newsletter
Ein Mal pro Woche Klartext zu KI, Security & Crypto – direkt in dein Postfach.
Jetzt anmelden