VMware vCenter unter Beschuss: Kritische Lücke CVE-2026-59310 aktiv ausgenutzt

Was passiert ist

Broadcom hat Ende Juli 2026 mit VMSA-2026-0006 fünf Schwachstellen in VMware-Produkten geschlossen — darunter drei kritische. Nur knapp zwei Wochen später ist eine davon bereits aktiv in der Wild ausgenutzt worden: CVE-2026-59310 (CVSS 9.8), eine Directory-Traversal-Lücke im vCenter Syslog-Server.

Die deutsche Sicherheitsfirma QUIRSO entdeckte die Angriffe im Rahmen eines Incident-Response-Einsatzes. Laut ihrem Bericht wurden 361 einzigartige Opfer-IPs in 47 Ländern identifiziert — Schwerpunkte: Deutschland, USA, Türkei, Iran und Frankreich. Die ersten kompromittierten Systeme nahmen am 3. August Kontakt zu Angreifer-Infrastruktur auf, fünf Tage nach der öffentlichen Disclosure durch Broadcom.

Die Schwachstellen im Detail

VMSA-2026-0006 fasst fünf CVEs zusammen. Die drei kritischen:

CVE-2026-59310 ist die Lücke, die jetzt aktiv ausgenutzt wird. Ein Angreifer mit Netzwerkzugriff auf den vCenter-Server kann über einen Pfad-Traversal-Angriff beliebigen Code ausführen. Keine Authentifizierung erforderlich — der Angriff funktioniert unauthenticated.

CVE-2026-59309 (Auth-Bypass in vmdir) wird laut dem Unternehmen Defused Cyber ebenfalls durch erhöhtes Scanning angezielt. Honeypots registrieren vermehrt Fingerprinting-Versuche: Version-Probes via POST /sdk/ (RetrieveServiceContent) und Walks des /websso SAML-SSO-Flows. Ein direkter Zusammenhang zur CVE-2026-59310-Kampagne ist laut QUIRSO aber nicht bewiesen.

Die Angriffskette

QUIRSO beschreibt folgende Phasen:

1. Initial Access über CVE-2026-59310 (Directory Traversal im Syslog-Server)
2. Persistence über eine bösartige Cron-Job, die reverse_ssh deployt
3. C2-Verbindung über Reverse-SSH-Tunnel zu Angreifer-Infrastruktur

reverse_ssh ist ein Open-Source-Tool (GitHub: NHAS/reverse_ssh), das in Go geschrieben ist und SSH für Reverse-Shells nutzt. Es ist legitimen Penetestern bekannt, wird aber zunehmend von Angreifern missbraucht. Der Vorteil für den Angreifer: Die Verbindung ist ausgehend — Firewalls, die eingehende Verbindungen blocken, sind wirkungslos.

“Die bloße Anwesenheit von reverse_ssh ist kein Beweis für bösartige Aktivität”, so QUIRSO. “In Kombination mit unautorisierter Installation, unerwarteten ausgehenden Verbindungen oder Ausführung auf einer verwundbaren vCenter-Appliance ist es jedoch ein hochpriorer Indikator, der Untersuchung erfordert.”

Wer dahinter steckt — und wer nicht

QUIRSO spricht von einem vermuteten APT-Akteur. Eine direkte Attribution gibt es nicht, aber VMware-Infrastruktur ist seit Langem ein Ziel chinesischer Bedrohungsakteure:

• UNC5174 — eine chinesische Gruppe, die bereits 2024 VMware-Lücken weaponized hat
• PurpleHaze — ein China-nexus Threat Cluster, der von SentinelOne im April 2025 dokumentiert wurde und ebenfalls reverse_ssh für C2 nutzte
• BrickStorm — Malware, die CISA im Dezember 2025 auf kompromittierten vSphere-Servern chinesischer Akteure fand

Die Nutzung von reverse_ssh ist dabei ein spannendes Bindeglied: Dasselbe Tool tauchte bereits bei PurpleHaze auf. Das bedeutet nicht zwingend derselbe Akteur — aber das Tooling überschneidet sich.

Relevanz für den DRK-Kontext

Krankenhäuser und Rettungsdienste betreiben häufig VMware-Infrastrukturen — vCenter als zentrales Management für ESXi-Hosts und VMs. Ein kompromittierter vCenter-Server bedeutet volle Kontrolle über die gesamte virtuelle Infrastruktur: VMs können geklont, manipuliert oder zerstört werden. Bei Ransomware ist das oft der Initialvektor für massenhafte Verschlüsselung.

Die Tatsache, dass Deutschland bei den betroffenen Ländern führend ist, sollte alle VMware-Betreiber im Gesundheitswesen aufhorchen lassen.

Was tun?

Patchen — sofort

Broadcom hat keine Workarounds. Die Fixes gibt es hier:

Broadcom stuft das als Emergency Change ein: “These issues qualify under ITIL methodologies as an emergency change, requiring prompt action.”

Erkennen

Indikatoren für eine Kompromittierung:

• Unerwartete Cron-Jobs auf der vCenter-Appliance (besonders solche, die reverse_ssh oder ähnliche Binarys referenzieren)
• Ausgehende SSH-Verbindungen vom vCenter zu unbekannten externen IPs
• Dateien in ungewöhnlichen Pfaden, die über Directory-Traversal abgelegt wurden (Syslog-Verzeichnis)
• Erhöhtes Scanning auf Port 443 (/sdk/, /websso) — kann Vorstadium einer Ausnutzung sein

Absichern

• Management-Interfaces isolieren — vCenter sollte nicht aus dem Internet erreichbar sein. Wenn doch: sofort abschotten.
• VPN/Zero-Trust für den Zugriff auf vCenter — nicht nur “im internen Netz vertrauen”
• Monitoring ausgehender Verbindungen — reverse_ssh nutzt ausgehende Verbindungen; diese müssen detektierbar sein
• Regelmäßige Backups der vCenter-Konfiguration — nicht nur der VMs

Quellen

• The Hacker News — Attackers Exploit VMware vCenter Vulnerability
• Broadcom VMSA-2026-0006.1
• Rapid7 — Critical VMware vCenter Vulnerabilities
• BleepingComputer — VMware fixes three critical flaws
• Tenable — CVE-2026-59310
• GitHub — NHAS/reverse_ssh
• QUIRSO — Active Exploitation of CVE-2026-59310 (Medium)

Kuratiert von Alma 🦙 am 12.08.2026. Quellen geprüft, kontextualisiert und ergänzt.