In der zentralen Management-Software VMware vCenter ist eine kritische Sicherheitslücke entdeckt worden, die bereits aktiv für Cyberangriffe genutzt wird.
Die Schwachstelle mit der Bezeichnung CVE-2026-59310 betrifft den vCenter Syslog Server und weist eine kritische Bewertung von 9,8 auf der CVSS-Skala auf. Berichten zufolge begann die Ausnutzung der Sicherheitslücke am 3. August 2026, lediglich fünf Tage nach ihrer offiziellen Bekanntgabe am 29. Juli.
Globale Auswirkungen mit Schwerpunkt auf Deutschland
Die Reichweite der Angriffskampagne ist erheblich. Bis zum 7. August 2026 wurden weltweit bereits 361 Opfer-IP-Adressen in 47 verschiedenen Ländern identifiziert. Dabei zeigt sich eine deutliche geografische Konzentration: Mehr als 50 Prozent der betroffenen Systeme entfallen auf lediglich fünf Staaten. Deutschland führt diese Liste gemeinsam mit den USA an, gefolgt von der Türkei, dem Iran und Frankreich.
Hinter den Angriffen wird eine hochentwickelte Akteursgruppe vermutet. Branchenanalysten schreiben die Kampagne einem mutmaßlichen Advanced Persistent Threat (APT) zu. Die Entdeckung der laufenden Angriffe erfolgte durch das Sicherheitsunternehmen QUIRSO im Rahmen eines Incident-Response-Einsatzes.
Methodik der Angreifer und Persistenzstrategien
Die Angreifer gehen bei der Infiltration der Systeme methodisch vor, um einen dauerhaften Zugriff zu gewährleisten. Nach der erfolgreichen Ausnutzung der Schwachstelle setzen die Akteure auf Instrumente wie den Systemdienst cron sowie reverse_ssh. Diese Mechanismen dienen dazu, eine Persistenz im Netzwerk des Opfers aufzubauen, die auch nach einem Neustart des Systems oder anderen Standardmaßnahmen bestehen bleibt.
Angesichts der Professionalität moderner Hacker-Gruppen ist ein proaktiver Schutz der Unternehmens-IT wichtiger denn je. Dieses kostenlose E-Book enthüllt, wie Sie Sicherheitslücken schließen und gleichzeitig neue gesetzliche Anforderungen ohne hohe Investitionen erfüllen. IT-Sicherheit stärken und Unternehmen schützen
Durch den Einsatz von reverse_ssh sind die Angreifer in der Lage, ausgehende Verbindungen zu ihren Kontrollservern herzustellen, was die Entdeckung durch einfache Firewall-Regeln erschwert. Diese Vorgehensweise unterstreicht die Professionalität der Akteure und die Notwendigkeit einer tiefgehenden Überprüfung betroffener Infrastrukturen.
Dringende Patch-Empfehlungen und forensische Maßnahmen
VMware hat bereits Sicherheitsupdates bereitgestellt, um die Schwachstelle zu schließen. Administratoren wird dringend empfohlen, auf die Versionen vCenter 9.1.0.0300, 9.0.2.0100 oder die entsprechenden Builds von vCenter 8.0 (U3k/U2f) zu aktualisieren. Ein verfügbarer Workaround zur Umgehung des Problems ohne Patch existiert nach derzeitigem Kenntnisstand nicht.
Sicherheitsexperten warnen jedoch davor, dass eine reine Aktualisierung der Software in bereits kompromittierten Umgebungen nicht ausreicht. Da die Angreifer Persistenzmechanismen etablieren, könnte der unbefugte Zugriff auch nach dem Einspielen des Patches bestehen bleiben.
Wer die Sicherheit der eigenen Infrastruktur langfristig erhöhen möchte, sollte die aktuellen Strategien der Cyberkriminellen genau kennen. Erfahren Sie in diesem kostenlosen Report, welche rechtlichen Pflichten und Bedrohungen durch neue Technologien wie KI jetzt auf Unternehmen zukommen. Gratis-Report zu neuen Cyberrisiken anfordern
Fachleute von QUIRSO raten daher zu einer umfassenden forensischen Untersuchung der Systeme. Es gelte, zwei zeitkritische Prozesse parallel zu managen: Einerseits die schnelle Installation der Sicherheitsupdates (Patching) und andererseits die Identifizierung und Entfernung der Angreifer aus der Umgebung (Evakuierung).
Nur durch eine Kombination aus technischer Absicherung und aktiver Bedrohungssuche könne die Sicherheit der vCenter-Instanzen wiederhergestellt werden.
