senn-techVMware vCenter CVE-2026-59310: Von Patch zu Ransomware in fünf Tagen
Fünf Tage. So viel Zeit verging zwischen dem VMware-Patch für CVE-2026-59310 und dem Beginn der Massenausnutzung. Bis zum 14. August 2026 hatten es Angreifer geschafft, 361 vCenter-Server in 47 Ländern mit Babuk-abgeleiteter Ransomware zu kompromittieren. Der Fall ist ein weiteres Beispiel dafür, wie schnell ein eigentlich bekannter Patch zur Breitenwaffe wird, wenn kritische Infrastruktur nicht schnell genug aktualisiert wird.
Was passiert ist
- 2026-07-29: Broadcom veröffentlicht Patch und Sicherheitsempfehlung VMSA-2026-0006 für vCenter.
- 2026-08-03: Exploitation beginnt, zugeordnet einer Gruppe mit China-Bezug.
- 2026-08-14: 361 kompromittierte vCenter-Server in 47 Ländern dokumentiert.
- 2026-08-18: CISA nimmt CVE-2026-59310 in die Known Exploited Vulnerabilities (KEV)-Liste auf.
Der Höhepunkt der Infektionen lag bei 151 neu kompromittierten Servern an einem einzigen Tag. Das zeigt, dass der Angreifer nicht selektiv vorging, sondern offenbar eine breite Scan- und Automatisierungsinfrastruktur einsetzte.
Die Schwachstelle
CVE-2026-59310 betrifft den vCenter Syslog Server. Die Schwachstelle ist ein Path-Traversal mit einem CVSS-Score von 9.8. Der entscheidende Punkt ist, dass der Angriff ohne Authentifizierung beginnt: Ein Angreifer kann über das Netzwerk Dateien ausserhalb des vorgesehenen Pfads lesen und daraus weiteren Zugriff ableiten.
Warum gerade vCenter? Weil es in typischen VMware-Umgebungen das zentrale Steuerelement ist. Wer vCenter kontrolliert, kontrolliert Hosts, Speicher, Netzwerke, Backups und oft auch die Berechtigungsstrukturen. Eine Kompromittierung ist deshalb weit gefährlicher als der Fall eines einzelnen Servers.
Die Angriffskette
Die beobachtete Kette ist kurz und effektiv:
- Path-Traversal im Syslog Server — unauthentisierter Dateizugriff.
- Bösartiger Cron-Job — schafft Persistenz auf dem vCenter-System.
- Reverse-SSH-Tunnel — ermöglicht dem Angreifer dauerhafte, verschleierte Fernwartung.
- Babuk-Ransomware — Verschlüsselung der Infrastruktur, abgeleitet vom bekannten Babuk-Leak.
Die Verwendung von Babuk als Ableger ist typisch für Gruppen, die auf schnelle Verbreitung und wenig Custom-Entwicklung setzen. Der Code ist seit Jahren im Umlauf und lässt sich mit geringem Aufwand an neue Umgebungen anpassen.
Ausbreitung und Auswirkung
| Kennzahl | Wert |
|---|---|
| Kompromittierte Server | 361 |
| Betroffene Länder | 47 |
| Zeit Patch → Exploit | 5 Tage |
| Spitze Neuinfektionen/Tag | 151 |
| CISA KEV | 2026-08-18 |
| CVSS | 9.8 |
Die Zahlen zeigen nicht nur eine erfolgreiche Kampagne, sondern auch die Reaktionszeit realer Infrastrukturen. Selbst kritische Systeme wie vCenter werden oft nicht innerhalb von wenigen Tagen gepatcht, weil die Auswirkungen eines Neustarts umfangreich geplant werden müssen.
Was jetzt zu tun ist
- Patch einspielen: Broadcom VMSA-2026-0006 sofort umsetzen, falls noch nicht geschehen.
- Logs prüfen:
/storage/logund Syslog-Verzeichnisse auf ungewöhnliche Dateizugriffe, Cron-Einträge und Prozessaktivität untersuchen. - SSH- und Tunnel-Verbindungen validieren: Verdächtige Reverse-SSH-Sitzungen und Netzwerkverbindungen identifizieren.
- Umfeld untersuchen: Nicht nur das vCenter, sondern auch alle ESXi-Hosts und VMs, die darüber verwaltet werden, auf Indikatoren einer Kompromittierung prüfen.
- Sicherungsstrategie überprüfen: Backups müssen getrennt und wiederherstellbar sein, falls Ransomware aktiv wurde.
Weiterführende Quellen
Warum reichte ein Patch-Abstand von fünf Tagen für eine Massenkompromittierung?+
vCenter ist ein zentrales Verwaltungsziel in fast jeder VMware-Umgebung. Wer es kontrolliert, erhält Zugriff auf ESXi-Hosts, VMs, Backups und Netzwerksegmente. Viele Betreiber patchten nicht innerhalb von fünf Tagen, weil vCenter-Updates Planungsfenster und Neustarts erfordern. Für einen Angreifer reichte das aus, um tausende exponierter Instanzen systematisch abzuklopfen.
Was macht die Schwachstelle CVE-2026-59310 technisch so gefährlich?+
Der Fehler sitzt im vCenter Syslog Server. Ein nicht authentisierter Path-Traversal erlaubt es, Dateien ausserhalb des vorgesehenen Verzeichnisses zu lesen. Daraus gewinnt der Angreifer ausreichend Informationen, um interne Prozesse zu manipulieren, einen bösartigen Cron-Job zu installieren und letztlich Code auf dem vCenter-System auszuführen. Die Kombination aus Netzwerk-Erreichbarkeit, keiner Authentifizierung und hoher Integrationsdichte macht den CVSS-Score von 9.8 nachvollziehbar.
Welche konkreten Schritte sollten betroffene Teams jetzt umgehend durchführen?+
Zuerst muss das Patch von Broadcom VMSA-2026-0006 installiert werden. Parallel prüft das Team die vCenter-Logs auf unbekannte Cron-Einträge, verdächtige SSH-Verbindungen und Auffälligkeiten im Verzeichnis /storage/log. Besteht der Verdacht einer Kompromittierung, müssen alle darüber verwalteten ESXi-Hosts und darauf laufende VMs forensisch untersucht werden — nicht nur das vCenter selbst.