VMware vCenter unter Angriff: CVE-2026-59310 ermöglicht dauerhaften Zugriff

Aktive Ausnutzung von vCenter Server

QUIRSO hat die aktive Ausnutzung von CVE-2026-59310 festgestellt, einer kritischen Directory-Traversal-Schwachstelle in Broadcom VMware vCenter Server. Die Aktivitäten wurden am 12. August 2026 im Rahmen eines Incident-Response-Einsatzes entdeckt.

Die Schwachstelle hat einen CVSS-Score von 9.8. Angreifer, die das System über das Netzwerk erreichen können, sind dadurch in der Lage, beliebigen Code auszuführen.

Broadcom veröffentlichte die Patches Ende des Vormonats und machte die Schwachstelle anschließend öffentlich. Die genau betroffenen Versionen sind nicht bekannt.

Die kompromittierten Systeme begannen am 3. August, also fünf Tage nach der öffentlichen Bekanntgabe der Schwachstelle, mit der Kontaktaufnahme zu von den Angreifern kontrollierter Infrastruktur. QUIRSO identifizierte bis zu 361 eindeutige Opfer-IP-Adressen in 47 Ländern. Die meisten Betroffenen befanden sich in Deutschland, den USA, der Türkei, im Iran und in Frankreich.

Vom Exploit zur Aufrechterhaltung des Zugriffs

Die beobachtete Angriffskette steht im Einklang mit einem Erstzugriff über CVE-2026-59310. Anschließend installierten die Angreifer einen bösartigen Cronjob, der automatisch Aktivitäten auf dem System ausführen sollte.

Danach setzten sie reverse_ssh ein, ein Open-Source-Tool, das ausgehende SSH-Verbindungen zu von den Angreifern kontrollierten Endpunkten herstellt. Dieser Mechanismus kann bestimmte Sicherheitskontrollen umgehen, die verdächtige eingehende Verbindungen blockieren sollen.

Durch die Kombination blieb der Zugriff auf die kompromittierte Appliance dauerhaft bestehen. Das alleinige Vorhandensein von reverse_ssh ist jedoch kein Beweis für einen Einbruch. Der Indikator ist besonders relevant, wenn er gemeinsam mit nicht autorisierten Installationen, ungewöhnlichen Cronjobs und unerwarteten ausgehenden Verbindungen auftritt.

Der Betreiber wurde nicht eindeutig zugeordnet. Die Aktivitäten gelten als mit einem mutmaßlichen APT-Akteur vereinbar.

Eine weitere VMware-Schwachstelle im Visier von Scannern

Defused Cyber beobachtete eine Zunahme von Scans gegen VMware vCenter, die mit Ausnutzungsversuchen von CVE-2026-59309 vereinbar ist. Auch diese Schwachstelle wurde mit CVSS 9.8 bewertet.

Die Honeypots registrierten das Fingerprinting von Versionen über POST /sdk/, RetrieveServiceContent-Anfragen sowie die Analyse des SAML-SSO-Datenflusses unter /websso.

CVE-2026-59309 wird im Advisory VMSA-2026-0006 als Authentifizierungsumgehung in vmdir beschrieben, durch die sich Zugriffskontrollen möglicherweise umgehen lassen. Es gibt jedoch keine ausreichenden Belege dafür, dass diese Scans mit der Infrastruktur oder der für die mit CVE-2026-59310 beobachteten Angriffe verantwortlichen Gruppe verbunden sind.

Zu den früheren Vorfällen zählen Kampagnen, die chinesischen Akteuren zugeschrieben werden, darunter UNC5174, die VMware Tools und VMware vCenter ins Visier nahmen. Im April 2025 beschrieb SentinelOne außerdem das chinesische Cluster PurpleHaze. Dessen GoReShell-Backdoor bietet reverse_ssh-Funktionen; dies belegt jedoch keinen Zusammenhang mit dem aktuellen Vorfall.

Prüfungen auf den Appliances

Administratoren sollten:

• die Broadcom-Patches für CVE-2026-59310 installieren;
• die Anfälligkeit für CVE-2026-59309 gemäß VMSA-2026-0006 prüfen;
• kürzlich hinzugefügte oder geänderte Cronjobs suchen;
• nicht autorisierte Installationen von reverse_ssh identifizieren;
• ausgehende Verbindungen zu unbekannten Domains oder Endpunkten analysieren;
• ungewöhnliche Ausführungen auf den vCenter-Appliances überprüfen;
• Anfragen an POST /sdk/, RetrieveServiceContent und /websso überwachen.

Eine verwundbare Appliance, auf der diese Indikatoren auftreten, sollte als möglicher erfolgreicher Sicherheitsvorfall behandelt werden – nicht als bloßer Exploit-Versuch.