Auf einen Blick
- Was: Directory-Traversal in VMware vCenter (CVE-2026-59310, CVSS 9,8) erlaubt Codeausführung.
- Wer betroffen: Betreiber von VMware vCenter mit erreichbarer Syslog-Komponente.
- Schweregrad: Kritisch — aktiv ausgenutzt, 361 Systeme in 47 Ländern kompromittiert.
- Was tun: Sofort patchen, es gibt keinen Workaround. Cron-Jobs und ausgehende SSH-Verbindungen prüfen.
Wer eine Virtualisierung im Keller oder im Rechenzentrum betreibt, kennt das Gefühl: Der Hypervisor läuft, die Management-Oberfläche läuft, und man schaut monatelang nicht hin. Genau darauf zielen Angreifer gerade — und sie sind erfolgreich.
Im Zentrum steht CVE-2026-59310, eine Lücke in VMware vCenter mit dem Schweregrad CVSS 9,8. Sie sitzt in der Syslog-Server-Komponente und erlaubt es, sich über manipulierte Pfadangaben (ein sogenannter Directory-Traversal) aus dem vorgesehenen Verzeichnis herauszuarbeiten — und am Ende eigenen Code auszuführen. Netzwerkzugriff genügt.
FÜNF Tage von der Meldung bis zum Einbruch
Die Zeitleiste ist das eigentlich Beunruhigende. Broadcom hat die Lücke am 29. Juli offengelegt. Bereits am 3. August — also nach fünf Kalendertagen — meldeten Sicherheitsforscher die ersten kompromittierten Systeme, die mit Steuerservern der Angreifer sprachen.
Fünf Tage. So viel Zeit bleibt heute zwischen „Es gibt einen Patch“ und „Wir sind drin“.
SO läuft der Angriff ab
Das Muster ist erschreckend routiniert:
- Einstieg über die Traversal-Lücke — kein Passwort nötig, nur Erreichbarkeit.
- Dauerhaftigkeit herstellen: Die Angreifer legen einen Cron-Job auf dem System an. Der startet ihr Werkzeug regelmäßig neu, auch nach einem Neustart.
- Rückkanal aufbauen: Zum Einsatz kommt reverse_ssh, ein frei verfügbares Werkzeug. Statt dass der Angreifer sich zu dir verbindet, verbindet sich dein Server nach draußen. Firewalls, die eingehenden Verkehr blocken, sehen davon nichts.
Das Ergebnis: ein stiller Zugang mitten in der Virtualisierungsebene. Wer vCenter kontrolliert, kontrolliert die virtuellen Maschinen darunter — inklusive Domain-Controller, Datenbanken und Backup-Servern.
361 Systeme, 47 Länder — Deutschland vorn
Sicherheitsforscher zählen aktuell 361 kompromittierte IP-Adressen in 47 Ländern. Mehr als die Hälfte davon verteilt sich auf Deutschland, die USA, die Türkei, den Iran und Frankreich. Dass Deutschland ganz vorn liegt, ist kein Zufall: Hierzulande stehen sehr viele VMware-Installationen bei Mittelständlern und Hostern.
KEIN Workaround — nur patchen hilft
Das ist der unangenehme Teil: Broadcom bestätigt, dass es keine temporären Gegenmaßnahmen gibt. Kein Konfigurationsschalter, kein Dienst, den man abschalten könnte, ohne die Funktion zu verlieren. Das Update ist die einzige Lösung.
Deine Checkliste für heute:
- Patch einspielen — Priorität eins, keine Diskussion.
- Nach Spuren suchen: Ungewöhnliche Cron-Einträge auf der vCenter-Appliance, ausgehende SSH-Verbindungen zu unbekannten Zielen, neue Prozesse mit auffälligen Namen.
- Management-Oberfläche einsperren: vCenter gehört in ein eigenes Management-Netz, erreichbar nur über VPN oder Sprungserver — niemals direkt aus dem Internet.
- Ausgehenden Verkehr beobachten: Genau die Verbindungen, die reverse_ssh braucht, fallen nur auf, wenn man ausgehend überhaupt hinschaut.
UND wenn du gar kein VMware nutzt?
Dann gilt die Lehre trotzdem. Jede Management-Oberfläche einer Virtualisierung — ob vCenter, die Proxmox-Weboberfläche oder das NAS-Dashboard — ist ein Generalschlüssel. Wer sie ins offene Netz stellt, verlässt sich darauf, dass nie eine Lücke gefunden wird. Diese Wette geht regelmäßig verloren.
Und für alle, die ohnehin gerade über einen Wechsel nachdenken: Der Umstieg auf eine andere Plattform ersetzt keine Patch-Disziplin. Er verschiebt sie nur.
Häufige Fragen
Wie erkenne ich, ob mein vCenter kompromittiert ist?
Suche auf der Appliance nach Cron-Einträgen, die du nicht angelegt hast, und prüfe ausgehende Verbindungen — insbesondere SSH zu unbekannten Zielen. Die Angreifer nutzen das Werkzeug reverse_ssh, das eine Verbindung von deinem Server nach außen aufbaut.
Gibt es einen Workaround, wenn ich nicht sofort patchen kann?
Nein. Broadcom hat bestätigt, dass keine temporären Gegenmaßnahmen existieren. Wenn ein Update kurzfristig unmöglich ist, bleibt nur, die Erreichbarkeit der Management-Oberfläche drastisch einzuschränken — etwa über Firewall-Regeln und ein isoliertes Management-Netz.
Was ist ein Directory-Traversal überhaupt?
Eine Anwendung erwartet einen Dateinamen und arbeitet in einem festen Ordner. Schickt ein Angreifer stattdessen Pfadangaben, die aus diesem Ordner herausführen, kann er auf Dateien zugreifen, die er nie sehen sollte — im schlimmsten Fall, um eigenen Code an eine ausführbare Stelle zu schreiben.
Warum ist reverse_ssh so schwer zu entdecken?
Weil die Verbindung von innen nach außen aufgebaut wird. Firewalls filtern typischerweise eingehenden Verkehr streng und ausgehenden lax. Für die Firewall sieht das aus wie ein Server, der ganz normal ins Internet telefoniert.
Bin ich mit Proxmox oder einem anderen Hypervisor sicherer?
Nicht grundsätzlich. Diese konkrete Lücke betrifft nur vCenter. Das Grundproblem — eine mächtige Management-Oberfläche, die erreichbar ist und Updates braucht — gilt für jede Virtualisierungsplattform gleichermaßen.