Ich fasse mal drei Themen rund um VMware by Broadcom und dessen ESXi-Instanzen zusammen. VMware-Instanzen werden über die Schwachstelle CVE-2026-59310 angegriffen. Ein Blog-Leser hat mich kontaktiert, weil er bei Broadcom nicht an die benötigten Sicherheitsupdates herankommt. Und mir sind Meldungen untergekommen, dass VMware ESXi-Instanzen sich einfach herunterfahren.
Angriffe auf Schwachstelle CVE-2026-59310
Administratoren von VMware by Broadcom Virtualisierungs-Instanzen (vCenter, ESXi etc.) hätten längst reagieren müssen, denn es gibt Schwachstellen in VMware-Produkten.
VMware by Broadcom hat zum 29. Juli 2026 den Sicherheitshinweis VMSA-2026-0006: VMware ESX, vCenter, Workstation, and Fusion updates address multiple vulnerabilities (CVE-2026-59309, CVE-2026-59310, CVE-2026-47876, CVE-2026-41703, CVE-2026-41709) zu diversen Sicherheitslücken in seinen Produkten ESXi, vCenter, Workstation und Fusion veröffentlicht. Ich hatte dies im Beitrag VMware-Schwachstelle (u.a. in ESX) erlaubt Ausbruch aus VMs aufgegriffen. Die Schwachstelle CVE-2026-47876 ermöglicht beispielsweise einen Ausbruch aus der virtuellen Maschine. Updaten ist angesagt.
Obigem Tweet zufolge werden VMware vCenter-Instanzen ausgekundschaftet. Angreifer nutzen VMware vCenter aus, um sich dauerhaft Zugang zu verschaffen. Zuerst wird die Sicherheitslücke CVE-2026-59310 ausgenutzt, um Zugriff zu erhalten. Danach richten die Angreifer einen bösartigen Cron-Job ein, der "reverse_ssh", um sich den Zugriff zu sichern. Sicherheitsforscher haben bis zu 361 IP-Adressen von Opfern in 47 Ländern identifiziert. The Hacker News berichtet Details in diesem Artikel.
Sicherheitslücke, Broadcom KB 314603 und Support-Chaos
Blog-Leser Jonathan M. hat mich zum 11. August 2026 per E-Mail kontaktiert, weil er in seinem Unternehmensumfeld in Probleme gelaufen ist. Im Unternehmen betreiben sie zwei ESXi-Hosts samt vCenter auf Version 8. Allerdings ist der Supportvertrag im Mai 2026 ausgelaufen.
Laut Broadcom (KB 314603) sollen nun jedoch auch Kunden ohne aktiven Wartungsvertrag Patches für Sicherheitslücken mit einer CVSS <= 9,0 erhalten. Nach mehreren Gesprächen mit dem Support sowie unserem Account Director gibt es allerdings weder den Patch im Support Portal noch eine konkrete Timeline. Es betrifft die Frage 35 zum Ccritical VMware Security Advisory (VMSA) VMSA-2026-0006.
Auf die Frage, ob das Unternehmen das Update zwecks Lizenzkonformität aus alternativen Quellen beziehen dürfen, sei (z. B. mit Verweis auf potenziell veränderte Patches, obwohl Hash Werte gleich sind…) nur ausweichend geantwortet worden. Bezüglich der Audit Sicherheit habe man ebenfalls ausweichend geantwortet. "Gerade im Hinblick auf das derzeitige Gebaren von Broadcom bezüglich Audits und Unterlassungserklärungen sehen wir das Thema kritisch." schrieb der Leser und fragte: "Kannst du oder die Community hier für etwas Licht im Dunkeln sorgen? Vielleicht hast du oder die Community hier einen Rat für uns."
VMware ESX fährt spontan herunter
Die Tage ist mir bei den Kollegen von administrator.de der Thread Server fährt ohne Grund komplett herunter untergekommen. Der Betroffene hat das Problem bei einem Kunden, dass bei einem ESXi-Host mehrere (4) ESXi-Server (6.7 & 7.3) in Betrieb sind. Jeder dieser ESXi-Server fährt sich scheinbar ohne ersichtlichen Grund sauber herunter.
Eine USV ist vorhanden und wurde getauscht, jegliche Verbindung mit dem ESXi zum Steuern wurde getrennt, Zugangsdaten geändert etc. Das Problem tritt sporadisch auf. Einzige Info im ESXi-Log ist:
"VMKAcpi: 250: Power button pressed; requesting graceful shutdown and poweroff"
Der Poster fragt, ob jemand so ein Verhalten schon einmal gesehen oder eine Idee hat, wodurch ein "Power button pressed"-Signal ausgelöst werden könnte? Die vage Vermutung des Powers war es, dass eine Photovoltaikanlage verantwortlich sein könne.
Die Diskussion im Forum geht ziemlich an obiger Fragestellung vorbei. Interessant fand ich, dass ein weiterer Betroffener schreibt, dass er seit einigen Wochen das gleiche Problem habe (daher habe ich die Info mal hier aufgegriffen). Und bei Thomas Krenn gibt es noch den Wiki-Beitrag VMware DPM (Distributed Power Management), der ein bestimmtes Szenario beschreibt, wo die Virtualisierungshosts zum Stromsparen abgeschaltet werden. Scheint mir an obiger Fragestellung vorbei zu gehen. Und es gibt einen VMware Support-Beitrag Error: ESXi host powers off unexpectedly via ACPI signal, der aber auch nicht aufgegriffen wurde. Hat jemand aus der Leserschaft ein solches Verhalten beobachtet und kann den Kollegen drüben helfen?
MVP: 2013 – 2016
Was Patches von Broadcom angeht: Ganz heisses Eisen. Dazu gibt es genug Infos im Netz bzw. bei youtube.
Man kann nur raten zu migeren wann immer es geht.
Das ist leider richtig, nach jahrzehntelangen Einsatz haben wir das sinkende Schiff bereits verlassen. Wirklich Schade was hier passiert ist, klar hat's auch bei VMware hier und da geklemmt, aber die Karre so an die Wand zu fahren … :-(
Also wir hatten in den letzen 10 Jahren in unserer kleinen Umgebung keinerlei Probleme mit Updates.
Migrieren würden wir gerne wegen der Kostensteigerung.
Die Alternativen sind allerdings nicht günstiger, wenn man nicht gerade Proxmox ohne Support benutzen will. Und gerade bei Proxmox komme ich mir nach Updates vor wie in der Bastelbude, obwohl wir hier sehr Linuxlastig sind.
Das Problem hier ist das Sammelsurium an Linux-Paketen über die Proxmox nur eine GUI stülpt aber Fehler nicht selbst beheben kann.
Naja also der Support von Proxmox kostet schon nur noch ein BRUCHTEIL von den jetzigen vmware Lizenzen…
Kann ich bei unseren 8 ESX Host bis jetzt nicht beobachten. Setzen die aktuellste 8er Version.
Unabhängig von den Problemen frag ich mich aber doch, warum man als Unternehmen nicht mehr supportete Versionen einsetzt oder keinen aktiven Wartungsvertrag hat.
Hat die Firma vom Blog-Leser Jonathan M. den Vertrag gekündigt oder ging die Kündigung von Broadcom aus?
Bezüglich Wartungsvertrag: Ich gehe schwer davon aus, dass der Leser Kauflizenzen hat (sonst würde es ja nicht mehr funktionieren). Dafür bekommst du seit letztes Jahr (oder vorletztes?) keine Wartungsverlängerungen mehr, da Broadcom die Kauflizenzen loswerden möchte. Broadcom bietet nur an, auf Abolizenzen umzusteigen, mit den entsprechenden höheren Kosten und Nachteilen.
Die Frechheit ist ja, dass man für bestehende Kunden halt die Bedingungen einseitig geändert hat, vor dem Broadcom Kauf (bzw. auch noch einige Zeit danach) waren die Patche frei verfügbar, Wartungsvertrag hast du nur für Supportanfragen und Lizenzupgrades auf eine höhere Major-Version gebraucht.
Äh, ja? Dann ist das halt so. Solange ich VMware Produktiv einsetze, muss ich dann halt in den sauren Apfel beißen und mir zügig nach einem Alternativ Produkt umsehen.
Aber wer noch 6er und 7er Versionen im Einsatz hat, geht das Risiko schon länger ein. Denn letztes Jahr konnte man noch ohne Probleme v8 kaufen.
Auch wir werden jetzt wohl mind. 1x in den Sauren Apfel beißen und für einen Standort auf die von Cloud Foundation wechseln. Ja, das kostet dann nicht mehr ~2000€ pro Jahr, sondern 10k€.
Andere Investitionen der Firma kosten aber noch deutlich mehr Geld.
>Solange ich VMware Produktiv einsetze, muss ich dann halt in den sauren Apfel beißen […]
Ob man das muss, entscheidest du nur für dich, nicht für andere.
Die Risiko-Abschätzung wird in größeren Unternehmen schonmal auf Ebenen weiter oben getroffen. Wenn die Leitung entscheidet, dass man das Risiko eingehen will, dann wird das halt so gemacht.
>Andere Investitionen der Firma kosten aber noch deutlich mehr Geld.
Das ist doch kein Argument.
Da hat du schon Recht, das diese Entscheidung auf anderen Ebenen getroffen werden. Allerdings bin ich mir dann nicht sicher, ob diese Ebene sich den Ausmaßen dessen bewusst ist. Was ist denn, wenn die Infrastruktur steht? Was kostet denn ein Ausfall pro Tag? Und dann diskutiert man über 10k im Jahr?
Wie gesagt, kommt ja auch stark auf die eingesetzten Server und Infrastruktur an.
Und natürlich kann ich sagen, das 10k in einen Support Vertrag meiner Meinung nach wichtiger ist, als 10k in eine KI Software zu stecken. ;-)
Wartungsvertrag abschließen, Problem gelöst.
Bei dem Kandidaten mit den Shutdowns hört sich für mich alles nach Hardwareproblem an.
"Wartungsvertrag abschließen, Problem gelöst.
Geht bei Kauflizenzen nicht mehr, es wäre ein Wechsel auf Abolizenzen erforderlich, mit allen Kosten und Nachteilen. Das Problem ist eher, dass Broadcom kritische Patche nicht zeitnah allen zur Verfügung stellt, obwohl sie quasi versprochen haben das zu tun.
Natürlich geht das auch bei Kaufverträgen noch bis Oktober 2026 da Version 8 noch bis Oktober 2027 Updates bekommt, ist halt kostspielig, aber im Gegensatz zu Version 9 die sprichwörtlichen Peanuts.
Nein, das geht definitiv nicht, du kannst auf Kauflizenzen keine Wartung mehr neu abschließen/verlängern, bestehende Verträge laufen aber natürlich bis zum Ende der gebuchten Laufzeit weiter. Da gibt es sogar einen Rechtsstreit zwischen der Telekom/T-Mobile und Broadcom drüber. Siehe hier: https://www.heise.de/news/T-Mobile-streitet-mit-Broadcom-um-VMware-Support-11350345.html
Das einzige was geht, ist die vorhandenen Kauflizenzen in Abolizenzen umwandeln lassen (zu erhöhten Kosten natürlich), da ist dann auch der Support wieder mit drin.
Doch natürlich. Ich habe selbst so einen Wartungsvertrag laufen. Zur nächsten Fälligkeit stellen wir dann auf VCF um.
Das kostet im übrigen auch gar nicht nicht so viel mehr im Jahr, der Unterschied ist doch ziemlich überschaubar. Kann natürlich sein, dass das daran liegt, dass wir sowieso schon die Enterprise-Plus-Lizenz vom bisherigen VMware haben.
Die große Kostensteigerung war letztes Jahr, als die Wartungsgebühren explodiert sind.
Seh ich auch so.
Wir haben aber auch "Human" ausgestattete Hosts mit "nur" 16 Cores pro Blech. Und 48 Cores für VCF 9 ist jetzt nicht so arg wild. Ich meine 150$ pro Core pro Jahr.
Dann hast du den abgeschlossen, bevor Broadcom das abgekündigt hat, der läuft natürlich bis zum Ende der bestellten Laufzeit. Ist auch von Broadcom hier beschrieben: https://blogs.vmware.com/cloud-foundation/2024/01/22/vmware-end-of-availability-of-perpetual-licensing-and-saas-services/
Da steht explizit, dass du keine der alten Suiten mehr kaufen kannst und auch keine Wartung (Support and Subscription) mehr abschließen kannst. Du musst eine der neuen Pakete nehmen, und die gibt es nur als Abo.
Ja das mal ja sein. Aber dann muss man halt auf VSphere Standard als Abo umstellen.
Aber ohne Support etc ist in Production Umgebung eigentlich ein NoGo..
Komisch: Manchmal hört man sehr kritische Stimmen über VMware und einige sind von den Anpassungen des Preis-Leistungs-Verhältnises begeistert.
Naja, begeistert bin ich nicht. Genausowenig wie bei PRTG.
Ich kann es auch nur wie oben wiederholen. Bei unserem einen Cluster sind es fast 8000€ Mehrkosten im Jahr. Statt 2,4 knapp 8k. Kann man drüber diskutieren. Ist schon ne Menge.
Bei unserem 2. Cluster werde ich das auch definitiv nicht machen, da es eine kleine Gemeinnützige Firma ist. Da wird VM mäßig jetzt reduziert und dann auf eine Alternative gewechselt.
Aber für einen Cluster mit um die 60-70 VMs, wo ein durchgängiges Konzept steht und läuft, da nimmt man es erstmal hin. Langfristig werden wir uns auch da Proxmox anschauen.
Keine Ahnung, wann dieser Vertrag abgeschlossen wurde, vermutlich vor mehr als einem Jahrzehnt. Wurde eben immer wieder verlängert, wie es eben so ist, wenn man etwas kontinuierlich nutzt.
Begeistert? Auf keinen Fall. Im Vergleich zu vor drei Jahren haben sich unsere VMware-Kosten schätzungsweise verdreifacht, aber das ist aus meiner Sicht durch und aktuell gibt es keine praktikable Alternativlösung.
Ja, ich kenne Proxmox, ja, habe ich auch mehrere Hosts.
Aber es ist zumindest momentan nicht die Lösung für das, was wir mit VMware machen. Da dreht es sich um viele hundert VMs, Citrix-VDI, vGPUs, Fibrechannel-Storage, …
Danke für die Aufklärung, Daniel A..
Das Ausschaltproblem hört sich entweder so an, als ob im Umfeld der Solaranlage (Batteriespeicher?) oder USV irgend eine Möglichkeit zum automatischen Shutdown eingerichtet wurde. So was machen Dienstleister gerne auch mal ungefragt.
Vielleicht mal einfach einen Packet-Trace im Mangement-VLAN auf die relevanten IPMI-Ports mitlaufen lassen.
Alternative wäre Ausbruch aus einer der dort laufenden VMs. IPMI ist in letzter Zeit durch einige grobe Sicherheitslücken aufgefallen.
Especially if you have small installations (essentials), the prices are more than 10x higher. They even publicly declare that they do not care about such customers at all. Moreover, even if the person in question bought a license, he does not have current access to it, has nowhere to download installation media, etc. etc.
They are simply thieves and they should be treated exactly as such. Maintenance was (and according to valid contracts is) a fee for access to new versions, but not to existing updates. It's the same as if a car manufacturer sold you a broken and dangerous car and wanted money for repairs.
Haben in diesem Jahr den Wechsel von VMWare zu Proxmox durchgeführt. Insg. 3 Lenovo Hosts mit 70 VM und Lenovo Storage. Das hat einwandfrei funktioniert, wir haben keine fehlenden Funktionen (außer die Migration einer VM mit Storage im eingeschalteten Zustand) haben wir gegen die mehr als 10k€ die wir jährlich sparen abgewogen. Ein Kommentar hier erklärte Proxmox als Bastelbude, das kann ich jetzt so nicht nachvollziehen die GUI ist umfassend und übersichtlich, Storage Anbindung zusätzlich per Shell und das was zusammengesucht werden musste, hielt sich im Rahmen. Kommt denk ich mal aber auch auf die Infrastruktur an die man migrieren möchte.
Es gibt schon Möglichkeiten an Patches zu kommen ohne Support-Vertrag.
Die Frage ist halt. Vertraut man diesen Patches dann oder nicht.
HP bietet keine Custom ISO oder Depot an die aktuell ESXi 8.0U3k ist.
Wenn die Kist mit dem Custom ISO installiert wurde.
Was machst dann? Warten bis Oktober 2026 wo angeblich das dann zur Verfügung steht oder einfach die Original-Depot von VMware mit dem StandardProfil installieren. Und dann keinen Support mehr von HP erhalten weil Update von einer nicht support Version gemacht wurde.
Und eine Migration zu einem anderen Hersteller ist wie Teufel tauschen.
Proxmox ist noch nicht wirklich fit um VMware den Rang abzulaufen bei FC Storage.
Hier gehen ein paar Dinge durcheinander.
Das mit den ISOs ist Broadcoms "Kontrollzwang" geschuldet. Sie werden schon generiert, nur dürfen HPE oder Dell sie nicht zum Download zur Verfügung stellen, sondern müssen auf die Broadcom-Seite verweisen, wo Broadcom dann selbst entscheidet, ob der Kunde mit seinem Login befugt ist, sie zu bekommen.
Ja, es gibt alternative Seiten. Genauso grau wie z.B. die, von denen man die letzten Jahre z.B. Cisco-Firmware herunterladen konnte.
In Zeiten digital signierter Firmware und SHA256-Prüfsummen auch nicht unbedingt ein Sicherheitsproblem.
Trotzdem würde ich vorschlagen sie hier nicht zu nennen, da Günters Hosting vermutlich nicht so "bullet-proof" aufgestellt ist wie das der anderen und er sicher auch keine Lust auf den damit verbundenen juristischen Streß hat.
Deinen letzten Satz würde ich zumindest relativieren.
Proxmox ist durchaus "fit" um _ESXi_ den Rang abzulaufen.
Aber nicht unbedingt dem VCenter mit all seinen Einstellmöglichkeiten und auch nicht dem restlichen Ökosystem wie NSX oder VDI.
Beim FC-Storage merkt man, daß er zumindest von Hobbyisten (die einen großen Teil der Proxmox-Entwicklung tragen) eher weniger eingesetzt wird.
Technisch funktioniert es (das hat wenig mit Proxmox zu tun, die Storage-Anbindung ist eine ureigene Funktion des Betriebssystems Linux), nur gibt es halt keine Abstraktion in der "bunten" Proxmox-GUI, man muß mit Kommandozeilenwerkzeugen hantieren, um die Multipath-Anbindung herzustellen, LUNs, Partititionen und logische Volumes anzulegen.
Einmal eingerichtet läuft es genauso stabil wie unter VMware.
Weitere Infos:
https://www.bleepingcomputer.com/news/security/critical-vmware-vcenter-rce-flaw-exploited-for-reverse-ssh-access/
Bezüglich Updates: Laut dem Statement von damals bekommst du zwar auch ohne Wartungsvertrag Updates mit einem CVSS >= 9,0 (im Artikel steht kleiner gleich, was natürlich quatsch ist) – aber erst rund 90 Tage nach Veröffentlichung.
Diese Info hatte ich damals vom Support bekommen. Wurde aber nie irgendwo veröffentlicht. Das einzige dazu ist: https://knowledge.broadcom.com/external/article/314603/zero-day-ie-critical-security-patches-fo.html
Aber bei der Veröffentlichung von ESXi 8.0 Update 3f war das genauso wie angekündigt – hatte ich damals auch im Diskussionsbereich darauf hingewiesen.
Kritische Sicherheitsupdates mit so viel Verzögerung freizugeben empfinde ich schon nicht mehr nur als frech, sondern als vorsätzliche Sabotage. Das wäre so als wenn MS jetzt sagen würde, Windows Updates gibt es bei Servern nur noch für Kunden mit SA (Software Assurance).
Ich verstehe ja die Intention von Broadcom, dass man die Serviceverträge pushen will, aber in Ordnung ist das nicht. Als die Major Version 8 rauskam waren Patche nicht an eine aktive Wartung gekoppelt und die Version ist offiziell noch nicht EOL.
Es wäre was anderes, wenn das nur für Version 9 zutreffen würde, das gab und gibt es schon immer nur als Abo, aber bei den Bestandsversionen, die noch im Support sind, ist das nicht OK. Aber wir driften etwas vom Thema ab.
>> Das wäre so als wenn MS jetzt sagen würde, Windows Updates gibt es bei Servern nur noch für Kunden mit SA (Software Assurance).
Tun sie doch? Das kostenpflichtige ESU-Programm ist genau das.
Das ist nicht ganz das selbe. Das ESU Programm ist für Produkte, die bereits End of Support sind, um den Leuten/Firmen weitere Zeit zu geben, auf die aktuelle Version umzustellen (oder auf was anderes zu wechseln). Also aktuell z.Bsp. Windows 10, Server 2012R2, Exchange 2016/2019 usw. Nicht für Software, die noch im Support ist wie Broadcom mit Vsphere 8.
Was Broadcom macht ist so, als würde Microsoft hingehen und plötzlich sagen: Für Windows Server 2016, 2019 und 2022 gibt es Updates nur noch im SA.