vCenter Syslog Sicherheitslücke: CVE-2026-59310 ausgenutzt

Die vCenter Syslog Sicherheitslücke CVE-2026-59310 wird aktiv ausgenutzt: 361 Opfer-IPs in 47 Ländern. Was Admins jetzt patchen und prüfen müssen.

Die vCenter Syslog Sicherheitslücke CVE-2026-59310 wird seit Anfang August aktiv ausgenutzt. Die DFIR-Firma QUIRSO hat kompromittierte Systeme an 361 IP-Adressen in 47 Ländern gefunden. Broadcom hat längst gepatcht. Wer das Notfall-Update noch nicht eingespielt hat, ist deshalb nicht mehr theoretisch angreifbar, sondern steht mitten in einer laufenden Kampagne.

Was hinter CVE-2026-59310 steckt

Broadcom hat die Schwachstelle am 29. Juli 2026 im Advisory VMSA-2026-0006 veröffentlicht. Es handelt sich um eine Directory-Traversal-Lücke im Syslog-Server von VMware vCenter. Ein Angreifer mit Netzwerkzugriff auf vCenter kann sie ohne gültige Anmeldedaten ausnutzen und beliebigen Code ausführen. Broadcom bewertet das mit einem CVSS-3.1-Basiswert von 9.8 (kritisch); der NVD-Eintrag steht noch auf „Awaiting Analysis” und übernimmt vorerst diesen Herstellerwert.

Newsletter

Klartext ins Postfach

KI, Security & Crypto – die wichtigsten Analysen, kein Spam. Jederzeit abbestellbar.

Workarounds gibt es laut Hersteller keine. Gepatcht wird ausschließlich über ein Update:

vCenter 9.1 → 9.1.0.0300
vCenter 9.0 → 9.0.2.0100
vCenter 8.0 → 8.0 U3k oder 8.0 U2f, je nach Branch

Wichtig: Im selben Advisory steckte noch eine zweite kritische vCenter-Lücke. CVE-2026-59309 ist ein Authentifizierungs-Bypass im VMware Directory Service, ebenfalls mit 9.8 bewertet. Zwei unauthentifizierte 9.8er an einem einzigen vCenter-Patchtag — das ist der eigentliche Befund.

Reverse-SSH statt Ransomware — vorerst

Laut QUIRSO nahmen die ersten kompromittierten Systeme am 3. August Verbindung zur Angreifer-Infrastruktur auf, also fünf Kalendertage nach der Veröffentlichung. Danach ging es schnell: Am 4. August kamen 151 weitere Opfer-IPs dazu, bis zum 5. August waren bereits 343 der insgesamt 361 IPs aufgetaucht. Mehr als die Hälfte entfiel auf Deutschland, die USA, die Türkei, den Iran und Frankreich. Diese Zahl ist allerdings kein Organisationszähler: Hinter einer IP kann ein Hoster mit vielen Kunden stecken, und QUIRSO weist selbst darauf hin, dass sich daraus keine Zahl betroffener Unternehmen ableiten lässt.

Nach dem Einbruch installieren die Angreifer das quelloffene Werkzeug reverse_ssh. Es baut eine ausgehende Verbindung zum Command-and-Control-Server auf. Genau darin liegt der Trick: Eine Firewall, die eingehenden Verkehr sauber blockiert, lässt ausgehenden Verkehr oft ungefiltert passieren. In einem Folgebericht ordnet QUIRSO die Kampagne einem mutmaßlich chinesisch geprägten APT-Akteur zu — ausdrücklich ohne Zuordnung zu einer benannten Gruppe oder zu einem Staat. Zusätzlich meldet das Team Scan-Aktivität, die auf Ausnutzungsversuche gegen CVE-2026-59309 hindeutet; einen Zusammenhang mit derselben Gruppe hält es bislang für nicht belegt.

Zur Einordnung gehört auch, was nicht vorliegt: Beide CVEs stehen in der CISA-KEV-Liste (Katalogstand 14.08.2026) bislang nicht drin. Die Ausnutzung ist also bisher vor allem von einem DFIR-Anbieter dokumentiert, nicht behördlich bestätigt. Das macht sie nicht unglaubwürdig — es heißt nur, dass hier kein US-Behördenzwang zum Patchen greift und man selbst entscheiden muss.

Was das für dich bedeutet

Aus CISO-Sicht ist die vCenter Syslog Sicherheitslücke gefährlicher, als der reine CVSS-Wert vermuten lässt. vCenter ist kein einzelner Server, sondern die Schaltzentrale über sämtliche virtuellen Maschinen, ESXi-Hosts und Berechtigungen. Wer dort Code ausführt, braucht anschließend keine weiteren Lücken mehr — er hat die Verwaltungsebene. Nach meiner Erfahrung aus 25 Jahren IT ist genau dieser Punkt der Übergang, an dem aus einem Einbruch ein Totalausfall wird.

Dass zwischen Patch und erster Ausnutzung nur fünf Tage lagen, sollte niemanden mehr überraschen. Das klassische Wartungsfenster „nächster Monatspatchtag” ist bei internetnaher Management-Software schlicht zu langsam.

Der zweite Punkt betrifft die Netzarchitektur. Die Angreifer setzen auf ausgehende Verbindungen, weil sie wissen, dass die meisten Umgebungen ihren Egress-Verkehr nicht kontrollieren. Ein Management-Segment, das ungefiltert ins Internet telefonieren darf, ist ein Konstruktionsfehler — unabhängig von dieser CVE.

Was du jetzt konkret tun solltest

Patchen, heute. Die oben genannten Versionen einspielen. Es gibt keine Alternative und keinen Workaround des Herstellers.
Erreichbarkeit prüfen. vCenter gehört nicht ins Internet und auch nicht ins normale Client-Netz. Zugriff nur über ein separates Management-Segment mit Sprungserver.
Egress filtern. Aus dem Management-Segment darf kein beliebiger ausgehender Verkehr laufen. Das bricht den reverse_ssh-Kanal, selbst wenn der Einbruch gelingt.
Von Kompromittierung ausgehen. Wer erst jetzt patcht, sollte rückwirkend ab dem 1. August prüfen: unbekannte Prozesse und Dienste auf der Appliance, ungewöhnliche ausgehende SSH-Verbindungen, neu angelegte Konten und Zertifikate. Ein Patch entfernt keinen bereits installierten Zugang. QUIRSO hat dafür eine YARA-Regel veröffentlicht — sie schlägt allerdings auch bei legitimer Nutzung des Tools an und ist damit ein Ermittlungshinweis, kein Beweis.
Backups gegenprüfen. Sicherungen der VM-Umgebung sollten offline liegen oder zumindest nicht mit denselben Anmeldedaten erreichbar sein wie vCenter selbst.

Wer zu Hause oder im kleinen Betrieb virtualisiert und dabei nicht auf Enterprise-Lizenzen angewiesen ist, findet die passende Hardware-Grundlage in meinem Ratgeber zu NAS und Heimservern für Selfhosting.

Quellen

Dranbleiben

Diese Analysen als Newsletter

Ein Mal pro Woche Klartext zu KI, Security & Crypto – direkt in dein Postfach.

Jetzt anmelden