Vor zwei Wochen sah die Sache noch so aus: Eine Lücke in VMware vCenter, aktiv ausgenutzt, Angreifer bauen sich stille Hintertüren. Unangenehm, aber leise. Jetzt hat sich das Bild gedreht — und zwar in die schlechteste Richtung, die es gibt.
WAS neu ist: aus Spionage wird Erpressung
Sicherheitsforscher berichten, dass die Angriffe über CVE-2026-59310 inzwischen in der Ausrollung von Ransomware münden. Zum Einsatz kommt demnach ein Schädling, der auf der bekannten Babuk-Familie aufbaut — jener Baukasten, dessen Quellcode vor Jahren geleakt wurde und seither immer wieder für ESXi-Angriffe abgewandelt wird.
Das ist ein qualitativer Sprung. Eine Hintertür kostet dich Vertrauen und Aufräumarbeit. Verschlüsselte virtuelle Maschinen kosten dich den Betrieb.
ZUR Erinnerung: Das ist die Lücke
CVE-2026-59310 ist ein Directory Traversal mit der Wertung CVSS 9,8. Der Fehler steckt in der Syslog-Komponente von vCenter. Über manipulierte Pfadangaben arbeitet sich ein Angreifer aus dem vorgesehenen Verzeichnis heraus und bringt am Ende eigenen Code zur Ausführung. Ein Passwort braucht er dafür nicht — Netzwerkzugriff genügt.
Die Zeitleiste bleibt das Lehrstück: Broadcom veröffentlichte die Lücke am 29. Juli. Bereits am 3. August — fünf Tage später — meldeten Forscher die ersten kompromittierten Systeme. Inzwischen ist von 361 betroffenen IP-Adressen in 47 Ländern die Rede.
SO erkennst du einen Treffer
Es gibt ein erstaunlich konkretes Erkennungsmerkmal. Beim erfolgreichen Auslösen der Lücke protokolliert der Cron-Dienst eine fehlerhafte Cron-Datei mit dem Namen:
zz-poc59310-syslog.log
Der Name verweist direkt auf die CVE-Nummer — ein Hinweis darauf, dass die Angreifer schlicht ein öffentlich verfügbares Proof-of-Concept-Skript benutzen. Für dich heißt das: Such gezielt nach dieser Datei und nach unerwarteten Cron-Einträgen auf der vCenter-Appliance.
Zweites Merkmal aus den früheren Analysen: ausgehende SSH-Verbindungen. Die Angreifer setzen auf reverse_ssh — dein Server baut die Verbindung nach draußen auf, nicht umgekehrt. Eine Firewall, die nur eingehenden Verkehr filtert, sieht davon nichts.
DAS musst du jetzt tun
- Patchen. Broadcom hat einen Fix veröffentlicht. Einen Workaround gibt es nicht — die Syslog-Komponente lässt sich nicht sinnvoll wegkonfigurieren.
- Cron prüfen. Suche auf der Appliance nach der oben genannten Datei und nach Jobs, die du nicht angelegt hast.
- Ausgehenden Verkehr einschränken. vCenter braucht keinen freien Weg ins Internet. Erlaube nur, was nachweislich nötig ist.
- Management-Netz trennen. vCenter und ESXi gehören in ein eigenes, nicht aus dem Internet erreichbares Segment.
- Backups vom Produktivnetz lösen. Wer vCenter kontrolliert, erreicht auch die virtuellen Maschinen darunter — inklusive Backup-Server. Eine Sicherung, die dauerhaft eingebunden ist, wird bei ESXi-Ransomware regelmäßig mitverschlüsselt.
UND fürs Homelab?
Wenn du zu Hause Proxmox oder XCP-ng fährst, betrifft dich diese konkrete Lücke nicht. Die Lehre daraus schon: Die Management-Oberfläche deiner Virtualisierung ist der Generalschlüssel für alles darunter. Sie gehört nicht ins offene Internet, sie gehört hinter ein VPN, und sie braucht Updates genauso dringend wie die Gäste, die sie beherbergt.