{"id":48748,"date":"2026-08-12T12:51:45","date_gmt":"2026-08-12T10:51:45","guid":{"rendered":"https:\/\/overcentral.com\/de\/?p=48748"},"modified":"2026-08-12T12:51:45","modified_gmt":"2026-08-12T10:51:45","slug":"vmware-vcenter-luecke-aktiv-ausgenutzt","status":"publish","type":"post","link":"https:\/\/overcentral.com\/de\/vmware-vcenter-luecke-aktiv-ausgenutzt\/","title":{"rendered":"Angreifer nutzen kritische VMware-vCenter-L\u00fccke f\u00fcr dauerhaften Fernzugriff aus"},"content":{"rendered":"<p>Eine kritische Sicherheitsl\u00fccke in VMware vCenter, die Broadcom erst Ende Juli geschlossen hat, wird bereits aktiv von Angreifern ausgenutzt. Die Schwachstelle <a href=\"https:\/\/cve.mitre.org\/cgi-bin\/cvename.cgi?name=CVE-2026-59310\" target=\"_blank\" rel=\"noopener noreferrer\" data-iacss-external=\"1\">CVE-2026-59310<\/a> mit einem CVSS-Score von 9,8 erlaubt es Angreifern, durch Directory-Traversal beliebigen Code auf betroffenen Servern auszuf\u00fchren. Nach einer Incident-Response-Intervention hat die deutsche Sicherheitsfirma QUIRSO Hinweise auf eine umfassende Kampagne gefunden, bei der die Angreifer dauerhaften Fernzugriff auf kompromittierte Systeme erlangen.<\/p>\n<h2>CVE-2026-59310: Directory-Traversal mit kritischen Auswirkungen<\/h2>\n<p>Die L\u00fccke betrifft den VMware vCenter Server, eine zentrale Verwaltungskomponente in virtualisierten Umgebungen. Ein Angreifer mit Netzwerkzugriff kann die Schwachstelle nutzen, um aus der Ferne Schadcode auszuf\u00fchren, ohne sich vorher authentifizieren zu m\u00fcssen. Broadcom lieferte Ende Juli Patches aus, die das Problem beheben. F\u00fcnf Tage nach der \u00f6ffentlichen Offenlegung registrierte QUIRSO die ersten Angriffsaktivit\u00e4ten. Die starke zeitliche Korrelation zwischen Disclosure und Exploitation deutet darauf hin, dass die Ver\u00f6ffentlichung der Schwachstelle den Ansto\u00df f\u00fcr die Angriffswelle gab.<\/p>\n<h2>Angriffskette: Von Path Traversal zu dauerhafter Persistenz<\/h2>\n<p>Die Analyse der kompromittierten Systeme zeigt einen klaren Ablauf. Zun\u00e4chst nutzten die Angreifer die Directory-Traversal-Schwachstelle, um sich Zugang zu verschaffen. Im n\u00e4chsten Schritt installierten sie einen b\u00f6sartigen Cron-Job, der den Aufbau einer Reverse-SSH-Verbindung sicherstellte. Daf\u00fcr verwendeten sie das Open-Source-Tool reverse_ssh, das es erlaubt, vom kompromittierten System aus eine ausgehende SSH-Verbindung zu einer kontrollierten Infrastruktur herzustellen. Diese Technik umgeht Firewalls und andere Sicherheitskontrollen, die eingehende Verbindungen blockieren. QUIRSO betont, dass reverse_ssh allein kein Beweis f\u00fcr eine Kompromittierung ist \u2013 in Kombination mit einer unbefugten Installation und ungew\u00f6hnlichen ausgehenden Verbindungen auf einem verwundbaren vCenter-Appliance sei es jedoch ein starkes Indiz, das sofort untersucht werden m\u00fcsse.<\/p>\n<h2>Betroffene Systeme und geografische Verteilung<\/h2>\n<p>Laut QUIRSO befinden sich insgesamt 361 eindeutige IP-Adressen kompromittierter Systeme in 47 L\u00e4ndern. Die meisten Opfer sind in Deutschland, den USA, der T\u00fcrkei, dem Iran und Frankreich registriert. Die Angreifer nahmen ab dem 3. August Kontakt zu ihren Dom\u00e4nen auf, also nur f\u00fcnf Tage nach Ver\u00f6ffentlichung der Patches. Die Identit\u00e4t der T\u00e4tergruppe ist noch unklar, doch die Vorgehensweise und die verwendeten Werkzeuge weisen auf einen mutma\u00dflich staatlich gest\u00fctzten Advanced Persistent Threat (APT) hin.<\/p>\n<h2>Historische Parallelen: VMware als Ziel chinesischer APT-Gruppen<\/h2>\n<p>VMware-Applikationen sind seit Jahren ein bevorzugtes Ziel von chinesischen Bedrohungsakteuren. Die Gruppe UNC5174 hat in der Vergangenheit Sicherheitsl\u00fccken in VMware Tools und VMware vCenter f\u00fcr Spionagekampagnen ausgenutzt. Im April 2025 deckte SentinelOne einen als PurpleHaze bezeichneten Cluster auf, der eine s\u00fcdasiatische Regierungsorganisation angriff und die Hintert\u00fcr GoReShell einsetzte. GoReShell nutzt Funktionen des reverse_ssh-Tools, um Reverse-SSH-Verbindungen zu attacker-eigenen Systemen aufzubauen \u2013 eine exakt gleiche Technik wie in der aktuellen Kampagne. Ob diese Verbindung auch hier besteht, ist noch nicht abschlie\u00dfend gekl\u00e4rt.<\/p>\n<h2>Weitere Bedrohung: CVE-2026-59309 und verst\u00e4rkte Scan-Aktivit\u00e4ten<\/h2>\n<p>Parallel zu den aktiven Ausnutzungen von CVE-2026-59310 beobachtet die Sicherheitsfirma Defused Cyber einen deutlichen Anstieg von Scans gegen VMware vCenter. Diese zielen auf die Schwachstelle CVE-2026-59309 ab, bei der es sich um einen nicht authentifizierten Authentifizierungs-Bypass im vmdir-Dienst mit einem CVSS-Score von 9,8 handelt. Die Honeypots von Defused Cyber verzeichnen vermehrte Fingerprinting-Versuche, etwa Versionstests \u00fcber POST \/sdk\/ (RetrieveServiceContent) und Durchl\u00e4ufe des SAML-SSO-Flows von \/websso. Denis Szadkowski, COO und Mitgr\u00fcnder von QUIRSO, erkl\u00e4rte gegen\u00fcber The Hacker News, dass es derzeit nicht gen\u00fcgend Beweise gebe, um die Scans mit den bei CVE-2026-59310 beobachteten Angriffen zu verkn\u00fcpfen. Mit hoher Sicherheit lasse sich jedoch sagen, dass die untersuchte Kompromittierung auf CVE-2026-59310 als initialem Zugangsvektor beruhe.<\/p>\n<h2>Schlussfolgerung und Handlungsempfehlungen<\/h2>\n<p>Die aktuellen Ereignisse unterstreichen die Dringlichkeit, kritische VMware-Schwachstellen unverz\u00fcglich zu schlie\u00dfen. Da Angreifer bereits wenige Tage nach Patch-Ver\u00f6ffentlichung mit der aktiven Ausnutzung beginnen, d\u00fcrfen Organisationen keine Zeit verlieren. Die verwendete Technik des Reverse-SSH-Tunnels macht die Angriffe schwer erkennbar, da sie legitime ausgehende Verbindungen nachahmt. Sicherheitsteams sollten ihre vCenter-Systeme nicht nur patchen, sondern auch auf ungew\u00f6hnliche Cron-Jobs und unerwartete ausgehende SSH-Verbindungen pr\u00fcfen. Die zunehmende Scan-Aktivit\u00e4t gegen CVE-2026-59309 deutet darauf hin, dass weitere Exploitation bevorstehen k\u00f6nnte. Eine umfassende \u00dcberwachung und schnelle Patch-Installation bleiben die wirksamsten Schutzma\u00dfnahmen.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Eine kritische Sicherheitsl\u00fccke in VMware vCenter, die Broadcom erst Ende Juli geschlossen hat, wird bereits aktiv von Angreifern ausgenutzt. Die Schwachstelle CVE-2026-59310 mit einem CVSS-Score von 9,8 erlaubt es Angreifern, durch Directory-Traversal beliebigen Code auf betroffenen Servern auszuf\u00fchren. Nach einer Incident-Response-Intervention hat die deutsche Sicherheitsfirma QUIRSO Hinweise auf eine umfassende Kampagne gefunden, bei der die [&hellip;]<\/p>\n","protected":false},"author":5,"featured_media":48751,"comment_status":"closed","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"fifu_image_url":"https:\/\/raw.githubusercontent.com\/medeiroslima\/overcentral-images\/main\/images\/ocie_1786531917608.jpg","fifu_image_alt":"Angreifer nutzen kritische VMware-vCenter-L\u00fccke f\u00fcr dauerhaften Fernzugriff aus","footnotes":""},"categories":[6671],"tags":[],"class_list":["post-48748","post","type-post","status-publish","format-standard","has-post-thumbnail","category-scherheit"],"fifu_image_url":"https:\/\/raw.githubusercontent.com\/medeiroslima\/overcentral-images\/main\/images\/ocie_1786531917608.jpg","fifu_image_alt":"Angreifer nutzen kritische VMware-vCenter-L\u00fccke f\u00fcr dauerhaften Fernzugriff aus","_links":{"self":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/48748","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/users\/5"}],"replies":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/comments?post=48748"}],"version-history":[{"count":2,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/48748\/revisions"}],"predecessor-version":[{"id":48750,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/48748\/revisions\/48750"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media\/48751"}],"wp:attachment":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media?parent=48748"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/categories?post=48748"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/tags?post=48748"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}