Administratoren von VMware by Broadcom ESX-Instanzen müssen reagieren. Die Schwachstelle CVE-2026-47876 ist bekannt geworden und ermöglicht einen Ausbruch aus der virtuellen Maschine. Updaten ist angesagt.
VMware by Broadcom hat zum 29. Juli 2026 den Sicherheitshinweis VMSA-2026-0006: VMware ESX, vCenter, Workstation, and Fusion updates address multiple vulnerabilities (CVE-2026-59309, CVE-2026-59310, CVE-2026-47876, CVE-2026-41703, CVE-2026-41709) zu diversen Sicherheitslücken in seinen Produkten ESX, vCenter, Workstation und Fusion veröffentlicht.
Updates für VMware ESX, vCenter, Workstation und Fusion beheben mehrere Sicherheitslücken:
- CVE-2026-59309: CVSSv3-Base-Score von 9,8 (kritisch); VMware vCenter weist eine Sicherheitslücke im VMware Directory Service auf, die eine Umgehung der Authentifizierung ermöglicht. Ein Angreifer mit Netzwerkzugriff auf vCenter kann diese Schwachstelle ausnutzen, um die Authentifizierung zu umgehen und sich unbefugten Zugriff auf das System zu verschaffen.
- CVE-2026-59310: CVSSv3-Base-Score von 9,8 (kritisch); VMware vCenter weist eine Verzeichnisüberquerungsschwachstelle im Syslog-Server auf. Ein Angreifer mit Netzwerkzugriff auf vCenter kann diese Schwachstelle ausnutzen, um beliebigen Code auszuführen.
- CVE-2026-47876: CVSSv3-Base-Score von 9,3 (kritisch); VMware ESX weist eine Sicherheitslücke durch einen Schreibzugriff außerhalb des zulässigen Bereichs im virtuellen Netzwerkadapter VMXNET3 auf. Ein Angreifer mit lokalen Administratorrechten auf einer virtuellen Maschine, die mit dem virtuellen Netzwerkadapter VMXNET3 ausgestattet ist, kann diese Schwachstelle ausnutzen, um Code auf dem Host auszuführen. Virtuelle Netzwerkadapter, die nicht auf VMXNET3 basieren, sind von dieser Schwachstelle nicht betroffen.
- CVE-2026-41703: CVSSv3-Base-Score von 9,6 (wichtig); VMware ESX, Workstation und Fusion weisen eine Sicherheitslücke durch einen Lesezugriff außerhalb des zulässigen Bereichs auf. Ein böswilliger Angreifer mit Berechtigungen zur Bereitstellung von VMs könnte einen Lesezugriff außerhalb des zulässigen Bereichs auslösen, was möglicherweise zur Offenlegung von Informationen oder – was wahrscheinlicher ist – zu einem Denial-of-Service (DoS)-Zustand des Host-Prozesses führen könnte. Bei Workstation und Fusion beschränkt sich die Auswirkung dieser Sicherheitslücke auf die Offenlegung von Informationen.
- CVE-2026-41709: CVSSv3-Base-Score von 2,7 (low); VMware ESX weist eine Sicherheitslücke aufgrund unzureichender Protokollierung auf. Ein böswilliger Administrator könnte diese Sicherheitslücke ausnutzen, um bestimmte Vorgänge auszuführen, ohne dass diese protokolliert werden.
Golem schreibt hier, dass die VM-Escape-Lücke CVE-2026-47876 mit einem CVSS-Wert von 9,3 als kritisch bewertet wurde. rsache sind mögliche Schreibzugriffe außerhalb eines zulässigen Bereichs über den VMXNET3-Netzwerkadapter in VMware ESX. Zwar sind für eine erfolgreiche Ausnutzung Adminrechte innerhalb einer VM erforderlich. Ist das gegeben, ist der Host (z.B. eine ESX-Virtualisierungsumgebung) gefährdet.
VMware by Broadcom gibt keine Workaround an, es werden aber Updates zum Beseitigen der Schwachstellen im obigen Sicherheitshinweis angeboten. Administratoren sollten daher die oben genannten VMware-Produkte zeitnah mit den im Sicherheitshinweis genannten aktualisierten Version patchen.
MVP: 2013 – 2016
Ich finde die CVE-2026-59309 mit 9.8 fürs Vcenter viel kritischer da hier keine Benutzer gebraucht werden. Es reicht einfach Zugriff auf die URL zu haben.
(Diesen Zugriff _sollten_ _eigentlich_ _ausschließlich_ autorisierte Benutzer haben. ;))
Am Ende des Tages ist mir aber auch bewusst, dass das in sehr, sehr vielen Umgebungen ganz anders aussieht.
Kann mich nur anschließen. Der vCenter-Zugriff dürfte in fast allen Umgebungen logisch/physisch eingeschränkt sein.
Aber z.B. ein Hoster, der virtuelle Server mit Admin-Zugriff vermietet, steht vor einem Riesenproblem. Plötzlich kann man da ausbrechen und auf Kisten anderer Kunden zugreifen. Absoluter Supergau.
Puh, da wäre die Frage, welcher Hoster (seit einem Jahr) noch nicht auf vSphere 8 Update 3 ist. Wer das geschafft hat, wird ja wohl auch Live Patching nutzen und sollte auf sowas sehr zügig reagieren (können).
Aber auch da: Am Ende des Tages ist mir aber auch bewusst, dass das in sehr, sehr vielen Umgebungen ganz anders aussieht. ;)
Sind doch beide eine Katastrophe. Die vCenter Verwaltung sollte sowieso abgeschottet sein. Ist also theoretisch einfacher sich davor zu schützen. Schwieriger wirds, wenn viele Leute Zugriff haben.
Outbreaks sind aber höchst kritisch, da es jeweils die Grundpfeiler der Virtualisierung erschüttert und man sich kaum dagegen schützen kann. Das Problem wird in der konsolidierten Cloud-Welt zudem potenziert.
Hat schon jemand vCenter auf die Version 8.0.3.01000 geupdatet? Falls ja, lief es reibungslos? Von welcher Version kamt ihr?
Wie sieht es mit dem ESX-Update auf Version "8.0 U3k – 25595708" aus? Gleiche Fragen wie oben.
Danke im Voraus.
Gestern beides von der vorigen Version auf die neue geupdatet, läuft alles.
Probleme mit vCenter/ESX Updates sind eigentlich seit v7 so gut wie gar nicht mehr aufgetreten. Selbst von v7 auf v8 lief es beim vCenter erstaunlich schmerzfrei.
Gestern erst das Vcenter und dann auch die ESXen von der 8U3j auf die 8U3k upgedatet, lief problemlos durch und bisher auch keine Probleme aufgetreten. Verlass dich aber beim Vcenter nicht auf die vorher angezeigte Zeit, das dauert doch etwas länger als die bei uns angezeigten 25 Minuten, bis der komplett fertig war. War aber auch bei den vorigen Updates schon so, insofern einfach etwas Geduld haben.
Danke euch.
Bei mir hat vCenter ca. 30 min gedauert. Kam von Version 8.0.3.00600.
Ein ESX-Server hat ca. 5 min gedauert. Kam hier von Version 8.0 U3f.
Ja, erst vorgestern. Sowohl von der .0800 wie auch von der .0900. Vorher noch schnell ein Backup gemacht, damit der Update-Assistent nicht so viel jammert und dann Abflug. Dauert zwar immer eine halbe Ewigkeit, aber untertags gibt es bei meinen Kunden nur selten Zugriffe aufs vCenter. Gibt eigentlich auch nicht viele Gründe, direkt am vCenter zu arbeiten, so lange alles funktioniert.