Broadcom hat am 29. Juli 2026 das Sicherheitsadvisory VMSA-2026-0006 veröffentlicht. Darin steckt eine vCenter Sicherheitslücke, die Administratoren nicht ignorieren dürfen: CVE-2026-59309 erlaubt Angreifern mit Netzwerkzugriff auf den vCenter Server, die Authentifizierung komplett zu umgehen. Der CVSS-Score liegt bei 9,8 von 10 – höher geht es kaum.
Warum diese vCenter Sicherheitslücke so gefährlich ist
Die Schwachstelle sitzt im VMware Directory Service (vmdir), dem Verzeichnisdienst hinter vCenter. Gelingt der Auth-Bypass, steht Angreifern die gesamte Management-Ebene offen. Dann lassen sich virtuelle Maschinen, gespeicherte Daten und angebundene Workloads kontrollieren. Anders gesagt: Wer vCenter übernimmt, kontrolliert faktisch das ganze virtuelle Rechenzentrum. Genau deshalb ist der Verzeichnisdienst ein so lohnendes Ziel.
Broadcom stuft CVE-2026-59309 als „kritisch“ ein. Immerhin gibt es nach aktuellem Stand keine Hinweise auf eine Ausnutzung in freier Wildbahn. Ein Grund zum Zögern ist das aber nicht. Bei einem Score von 9,8 und einem öffentlich dokumentierten Advisory ist der Zeitdruck hoch.
Dein AD härten: 12 Sofortmaßnahmen
Das PDF mit Bordmitteln, PowerShell-Prüfbefehlen und 30-Tage-Reihenfolge – per Mail, sobald du deine Anmeldung zum Tech-&-Tacheles-Newsletter bestätigst.
Mit der Anmeldung erhältst du die AD-Checkliste als PDF und danach den Tech-&-Tacheles-Newsletter mit Einordnungen zu Security, KI und Crypto sowie gelegentlichen Hinweisen auf meine Bücher und Produktempfehlungen (auch Affiliate-Links) – eingetragen bist du erst nach Klick auf den Bestätigungslink in der E-Mail (Double-Opt-in). Abmeldung jederzeit über den Link in jeder E-Mail, Details in der Datenschutzerklärung.
Fünf Schwachstellen in einem Advisory
VMSA-2026-0006 bündelt insgesamt fünf Schwachstellen mit CVSS-Werten zwischen 2,7 und 9,8. Betroffen sind vCenter, ESX, Workstation, Fusion, VMware Cloud Foundation sowie mehrere Telco-Cloud-Produkte:
- CVE-2026-59309 (CVSS 9,8): Authentifizierungs-Bypass im vCenter-Verzeichnisdienst.
- CVE-2026-59310 (CVSS 9,8): Directory-Traversal im vCenter-Syslog-Server, ermöglicht unauthentifizierte Remote Code Execution.
- CVE-2026-47876: Out-of-bounds-Write in der VMXNET3-Komponente von ESX.
- CVE-2026-41703: Out-of-bounds-Read in ESX, Workstation und Fusion.
- CVE-2026-41709: unzureichendes Logging in ESX.
Besonders die ESX-Lücken verdienen Aufmerksamkeit. Ein Out-of-bounds-Write wie in CVE-2026-47876 kann im schlimmsten Fall den Weg für einen Ausbruch aus der virtuellen Maschine auf den Hypervisor ebnen. Genau dieses Szenario – der Sprung von einer kompromittierten VM auf den Host – ist in Multi-Tenant- und Cloud-Umgebungen das Worst-Case-Ereignis. Betreiber sollten die Updates deshalb nicht nur für vCenter, sondern für den gesamten Stack einspielen.
Was Admins jetzt tun sollten
Der wichtigste Schritt ist simpel: patchen. Broadcom stellt für die betroffenen Produkte Updates bereit. Bis die Aktualisierung durch ist, gilt die alte CISO-Regel – Management-Schnittstellen gehören nicht ins offene Netz. vCenter, ESXi-Hosts und der Verzeichnisdienst sollten strikt segmentiert und nur aus einem gesicherten Admin-Netz erreichbar sein. Das verkleinert die Angriffsfläche für genau solche Auth-Bypass-Lücken.
Ebenfalls sinnvoll ist ein Blick auf Logging und Monitoring. CVE-2026-41709 betrifft ausgerechnet die Protokollierung in ESX, und lückenhafte Logs erschweren die spätere Analyse eines Vorfalls erheblich. Wer jetzt patcht, sollte deshalb gleich prüfen, ob sicherheitsrelevante Ereignisse zuverlässig in der zentralen Auswertung landen.
Der Fall reiht sich in eine Serie kritischer Lücken in Management-Konsolen ein. Erst kürzlich traf es die Check Point SmartConsole mit CVE-2026-16232 – ebenfalls ein Authentifizierungs-Bypass. Das Muster ist deutlich: Wer die Verwaltungsebene übernimmt, braucht keine weiteren Exploits mehr.
Quellen
- Broadcom/VMware: Security Advisory VMSA-2026-0006
- The Hacker News: Three Critical VMware Flaws Allow Auth Bypass, Code Execution, and VM Escape
- SecurityWeek: Critical VM Escape Vulnerability Patched in VMware ESXi
Mehr Klartext, direkt ins Postfach
Neue Analysen zu Security, KI und Crypto per Mail – zum Einstieg die AD-Checkliste mit 12 Sofortmaßnahmen als PDF.
Zur Anmeldung