Eine kritische Sicherheitslücke in VMware vCenter, die Broadcom erst Ende Juli geschlossen hat, wird bereits aktiv von Angreifern ausgenutzt. Die Schwachstelle CVE-2026-59310 mit einem CVSS-Score von 9,8 erlaubt es Angreifern, durch Directory-Traversal beliebigen Code auf betroffenen Servern auszuführen. Nach einer Incident-Response-Intervention hat die deutsche Sicherheitsfirma QUIRSO Hinweise auf eine umfassende Kampagne gefunden, bei der die Angreifer dauerhaften Fernzugriff auf kompromittierte Systeme erlangen.
CVE-2026-59310: Directory-Traversal mit kritischen Auswirkungen
Die Lücke betrifft den VMware vCenter Server, eine zentrale Verwaltungskomponente in virtualisierten Umgebungen. Ein Angreifer mit Netzwerkzugriff kann die Schwachstelle nutzen, um aus der Ferne Schadcode auszuführen, ohne sich vorher authentifizieren zu müssen. Broadcom lieferte Ende Juli Patches aus, die das Problem beheben. Fünf Tage nach der öffentlichen Offenlegung registrierte QUIRSO die ersten Angriffsaktivitäten. Die starke zeitliche Korrelation zwischen Disclosure und Exploitation deutet darauf hin, dass die Veröffentlichung der Schwachstelle den Anstoß für die Angriffswelle gab.
Angriffskette: Von Path Traversal zu dauerhafter Persistenz
Die Analyse der kompromittierten Systeme zeigt einen klaren Ablauf. Zunächst nutzten die Angreifer die Directory-Traversal-Schwachstelle, um sich Zugang zu verschaffen. Im nächsten Schritt installierten sie einen bösartigen Cron-Job, der den Aufbau einer Reverse-SSH-Verbindung sicherstellte. Dafür verwendeten sie das Open-Source-Tool reverse_ssh, das es erlaubt, vom kompromittierten System aus eine ausgehende SSH-Verbindung zu einer kontrollierten Infrastruktur herzustellen. Diese Technik umgeht Firewalls und andere Sicherheitskontrollen, die eingehende Verbindungen blockieren. QUIRSO betont, dass reverse_ssh allein kein Beweis für eine Kompromittierung ist – in Kombination mit einer unbefugten Installation und ungewöhnlichen ausgehenden Verbindungen auf einem verwundbaren vCenter-Appliance sei es jedoch ein starkes Indiz, das sofort untersucht werden müsse.
Betroffene Systeme und geografische Verteilung
Laut QUIRSO befinden sich insgesamt 361 eindeutige IP-Adressen kompromittierter Systeme in 47 Ländern. Die meisten Opfer sind in Deutschland, den USA, der Türkei, dem Iran und Frankreich registriert. Die Angreifer nahmen ab dem 3. August Kontakt zu ihren Domänen auf, also nur fünf Tage nach Veröffentlichung der Patches. Die Identität der Tätergruppe ist noch unklar, doch die Vorgehensweise und die verwendeten Werkzeuge weisen auf einen mutmaßlich staatlich gestützten Advanced Persistent Threat (APT) hin.
Historische Parallelen: VMware als Ziel chinesischer APT-Gruppen
VMware-Applikationen sind seit Jahren ein bevorzugtes Ziel von chinesischen Bedrohungsakteuren. Die Gruppe UNC5174 hat in der Vergangenheit Sicherheitslücken in VMware Tools und VMware vCenter für Spionagekampagnen ausgenutzt. Im April 2025 deckte SentinelOne einen als PurpleHaze bezeichneten Cluster auf, der eine südasiatische Regierungsorganisation angriff und die Hintertür GoReShell einsetzte. GoReShell nutzt Funktionen des reverse_ssh-Tools, um Reverse-SSH-Verbindungen zu attacker-eigenen Systemen aufzubauen – eine exakt gleiche Technik wie in der aktuellen Kampagne. Ob diese Verbindung auch hier besteht, ist noch nicht abschließend geklärt.
Weitere Bedrohung: CVE-2026-59309 und verstärkte Scan-Aktivitäten
Parallel zu den aktiven Ausnutzungen von CVE-2026-59310 beobachtet die Sicherheitsfirma Defused Cyber einen deutlichen Anstieg von Scans gegen VMware vCenter. Diese zielen auf die Schwachstelle CVE-2026-59309 ab, bei der es sich um einen nicht authentifizierten Authentifizierungs-Bypass im vmdir-Dienst mit einem CVSS-Score von 9,8 handelt. Die Honeypots von Defused Cyber verzeichnen vermehrte Fingerprinting-Versuche, etwa Versionstests über POST /sdk/ (RetrieveServiceContent) und Durchläufe des SAML-SSO-Flows von /websso. Denis Szadkowski, COO und Mitgründer von QUIRSO, erklärte gegenüber The Hacker News, dass es derzeit nicht genügend Beweise gebe, um die Scans mit den bei CVE-2026-59310 beobachteten Angriffen zu verknüpfen. Mit hoher Sicherheit lasse sich jedoch sagen, dass die untersuchte Kompromittierung auf CVE-2026-59310 als initialem Zugangsvektor beruhe.
Schlussfolgerung und Handlungsempfehlungen
Die aktuellen Ereignisse unterstreichen die Dringlichkeit, kritische VMware-Schwachstellen unverzüglich zu schließen. Da Angreifer bereits wenige Tage nach Patch-Veröffentlichung mit der aktiven Ausnutzung beginnen, dürfen Organisationen keine Zeit verlieren. Die verwendete Technik des Reverse-SSH-Tunnels macht die Angriffe schwer erkennbar, da sie legitime ausgehende Verbindungen nachahmt. Sicherheitsteams sollten ihre vCenter-Systeme nicht nur patchen, sondern auch auf ungewöhnliche Cron-Jobs und unerwartete ausgehende SSH-Verbindungen prüfen. Die zunehmende Scan-Aktivität gegen CVE-2026-59309 deutet darauf hin, dass weitere Exploitation bevorstehen könnte. Eine umfassende Überwachung und schnelle Patch-Installation bleiben die wirksamsten Schutzmaßnahmen.
