Welche Schwachstelle reicht aus, um das zentrale Nervensystem einer virtuellen Infrastruktur komplett zu übernehmen, ohne Benutzerkonto, ohne Phishing-Mail und oft ohne dass ein Firewall-Alarm auslöst? Die Antwort liefert der August 2026: CVE-2026-59310, eine Directory-Traversal-Lücke im VMware vCenter Syslog Server, die Broadcom mit dem CVSS-Base-Score von 9.8 von 10 als Critical einstuft. Die Gefahr ist nicht theoretisch. Sicherheitsforscher der deutschen Firma QUIRSO haben eine globale Kampagne nachgewiesen, die bereits 361 eindeutige IP-Adressen in 47 Ländern kompromittiert hat. Deutschland, USA, Türkei, Iran und Frankreich führen die Liste an. Der Angriff nutzt das Open-Source-Tool reverse_ssh, um ausgehende Verbindungen zu Command-and-Control-Servern aufzubauen und so viele klassische Abwehrmaßnahmen zu umgehen.

Der vorliegende Artikel analysiert die technischen Details, zeigt, welche vCenter-Versionen betroffen sind, erklärt die Angriffskette von der ersten Verbindung am 3. August 2026 bis zur dauerhaften Persistenz und gibt konkrete Handlungsanweisungen für Administratoren. Alle Zahlen stammen aus verifizierbaren Quellen: dem Broadcom Security Advisory VMSA-2026-0006, dem US-amerikanischen NIST NVD-Eintrag zu CVE-2026-59310, einem Bericht von The Hacker News sowie einer Analyse von BleepingComputer. Es gibt keine Workarounds, nur Patches, und jeder Tag ohne Update ist ein Risiko.

Was ist CVE-2026-59310 und warum ist sie so gefährlich?

Technischer Hintergrund: Directory Traversal im Syslog Server

CVE-2026-59310 ist eine Directory-Traversal-Schwachstelle mit der CWE-Klassifikation CWE-22. Sie befindet sich im Syslog-Server-Dienst von VMware vCenter Server. Ein Angreifer, der aus dem Netzwerk heraus erreichbar ist, kann den Pfad einer Datei so manipulieren, dass er außerhalb des vorgesehenen Verzeichnisses landet. Im Fall von vCenter reicht das aus, um beliebigen Code auf dem verwalteten Server auszuführen und damit die komplette Kontrolle über die Virtualisierungsschicht zu erlangen.

Der NVD-Eintrag beschreibt die Auswirkung präzise: „A malicious actor with network access to vCenter may exploit this issue to execute arbitrary code.“ Der dazugehörige CVSS-v3.1-Vektor lautet CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Übersetzt bedeutet das: Angriff über das Netzwerk, niedrige Komplexität, keine Berechtigungen erforderlich, keine Benutzerinteraktion, alle drei Schutzziele Vertraulichkeit, Integrität und Verfügbarkeit sind hoch betroffen. Kurz gesagt: Jeder vCenter-Server, der von außen oder aus einem unsegmentierten Netzwerk erreichbar ist, kann mit minimalem Aufwand komplett übernommen werden.

Die Rolle von vCenter als Königsziel

VMware vCenter ist das Management-Backend für vSphere-Umgebungen. Wer vCenter kontrolliert, hat Zugriff auf alle angeschlossenen ESXi-Hosts, alle virtuellen Maschinen, alle Snapshots, alle Speicher- und Netzwerkkonfigurationen und oft auch auf Backups. In vielen Rechenzentren fungiert vCenter daher als Königsziel. Ein erfolgreicher Angriff auf CVE-2026-59310 öffnet nicht nur eine Tür, sondern gleich das gesamte virtuelle Rechenzentrum inklusive der Möglichkeit, weitere VMs lateral zu infiltrieren oder Ransomware massiv zu verteilen.

Von Disclosure zur aktiven Exploitation in wenigen Tagen

Broadcom hat die Schwachstelle am 29. Juli 2026 im Rahmen des Security Advisories VMSA-2026-0006 veröffentlicht. Der NVD-Eintrag wurde am 30. Juli 2026 angelegt und zuletzt am 14. August 2026 aktualisiert. Bereits am 3. August 2026, also fünf Tage nach der Veröffentlichung, verzeichneten die QUIRSO-Forscher die ersten Verbindungen kompromittierter Systeme zu den Angreifer-Infrastrukturen. Diese kurze Latenz zeigt, wie schnell aus einer Sicherheitsmeldung eine globale Bedrohung werden kann, insbesondere wenn keine Workarounds verfügbar sind und Administratoren auf offizielle Patches warten müssen.

Wie die Angriffskette funktioniert

Schritt 1: Path Traversal als Einfallstor

Der Angriff beginnt mit einer speziell präparierten Anfrage an den Syslog-Server. Durch das Einschleusen von Pfadsequenzen wie ../ oder encodierten Varianten gelingt es dem Angreifer, Dateien außerhalb des vorgesehenen Log-Verzeichnisses zu erreichen. Sobald der Dienst eine solche Anfrage verarbeitet, kann der Angreifer Schadcode ablegen oder direkt Befehle ausführen. Weil der Syslog-Dienst mit ausreichenden Rechten läuft, um Log-Dateien zu schreiben, reicht der Fehler aus, um die volle Kontrolle über das Appliance-Betriebssystem zu erlangen.

Schritt 2: reverse_ssh für ausgehende Persistenz

Nach der initialen Kompromittierung installiert der Angreifer einen malicious cron job, der das Open-Source-Tool reverse_ssh startet. Das Tool ist legitim und wird von Administratoren genutzt, um aus Netzwerken heraus SSH-Tunnel zu einem externen Server aufzubauen. Im Angriffskontext wird es missbraucht, um eine ausgehende Reverse-Verbindung zum Command-and-Control-Server herzustellen. Der entscheidende Vorteil für den Angreifer: Viele Firewalls und IDS-Systeme blockieren ungewöhnliche eingehende Verbindungen, erlauben aber ausgehende SSH-Verbindungen auf Port 443 oder 22. So verschwindet der Angriffsverkehr im normalen Datenverkehr und ist schwerer zu entdecken.

Schritt 3: Globale Verbreitung und Opferstruktur

Die QUIRSO-Analyse identifizierte 361 eindeutige IP-Adressen, die Opfer der Kampagne wurden. Sie verteilen sich auf 47 Länder. Die häufigsten Standorte sind Deutschland, USA, Türkei, Iran und Frankreich, wobei Deutschland eine der am stärksten betroffenen Regionen ist. Diese geografische Streuung deutet auf eine breit angelegte, automatisierte Kampagne hin, die nicht gezielt einzelne Unternehmen, sondern alle erreichbaren vCenter-Instanzen ins Visier nimmt. Die Forscher vermuten einen APT-ähnlichen Akteur, auch wenn eine finale Attribution noch aussteht. Die Geschwindigkeit, mit der aus einem Disclosure eine globale Kampagne entstand, zeigt zudem, dass die Angreifer entweder über Exploit-Code vorab verfügten oder die Lücke extrem schnell reverse-engineerten.

Betroffene Produkte und Patch-Versionen

vCenter Server, Cloud Foundation und vSphere Foundation

Laut NVD und Broadcom sind mehrere VMware-Produktfamilien betroffen. Die folgende Tabelle fasst die betroffenen Versionen und die ersten gepatchten Releases zusammen:

Administratoren sollten nicht nur die reine vCenter-Version prüfen, sondern auch eingebettete Produkte wie Cloud Foundation und vSphere Foundation, da diese vCenter als integrierten Bestandteil nutzen. Broadcom bietet mit dem Software Checker ein Werkzeug, um die eigene Installationsbasis schnell gegen alle aktuellen Sicherheitsmeldungen zu prüfen. Alternativ kann das Broadcom Security Advisory VMSA-2026-0006 direkt herangezogen werden. Besonders wichtig ist der Check bei abgekoppelten oder standby-betriebenen vCenter-Instanzen, die oft übersehen werden, weil sie nicht täglich im Blickfeld stehen.

Warum Workarounds nicht ausreichen

Broadcom hat ausdrücklich festgestellt, dass es für CVE-2026-59310 keine Workarounds oder temporären Mitigationen gibt. Das bedeutet: Netzwerksegmentierung und Firewall-Regeln verringern das Risiko, beseitigen es aber nicht. Der einzig wirksame Schutz ist das Einspielen der gepatchten Version. Organisationen, die aus Kompatibilitätsgründen nicht sofort aktualisieren können, müssen zumindest den Netzwerkzugriff auf vCenter so stark einschränken, dass nur noch autorisierte Jump-Hosts oder Management-VLANs erreichbar sind, und selbst das ist nur ein Übergangsschritt. Jede zusätzliche Expositionstag erhöht die Wahrscheinlichkeit, dass ein automatisiertes Scannen die eigene vCenter-Instanz findet und angreift.

Threat Intelligence: Was neben CVE-2026-59310 beobachtet wird

CVE-2026-59309: Die zweite kritische Schwachstelle im gleichen Advisory

VMSA-2026-0006 umfasst nicht nur CVE-2026-59310. Ebenfalls mit CVSS 9.8 eingestuft ist CVE-2026-59309, ein Authentication Bypass in der VMware Directory Service vmdir. Laut Beobachtungen von Defused Cyber nimmt das Scanning gegen diese zweite Lücke deutlich zu. Angriffe nutzen typischerweise POST /sdk/-Anfragen mit RetrieveServiceContent oder gehen den /websso-SAML-SSO-Flow ab, um die Version zu ermitteln und mögliche Einfallstore zu kartieren. Auch wenn QUIRSO die Kampagne um CVE-2026-59310 nicht direkt mit CVE-2026-59309 in Verbindung bringt, zeigt die parallele Aktivität, dass vCenter derzeit generell im Fokus von Angreifern steht. Administratoren sollten daher beide Schwachstellen gemeinsam betrachten und nicht nur die RCE-Lücke patchen.

Verbindung zu staatlichen APT-Gruppen?

VMware-Produkte sind seit Jahren ein beliebtes Ziel für staatlich unterstützte Akteure. The Hacker News verweist auf die Gruppe UNC5174, die bereits früher VMware-vCenter-Schwachstellen für Spionagekampagnen missbraucht hat. Auch das Tool reverse_ssh tauchte im April 2025 bei SentinelOne in Zusammenhang mit dem China-näheren Cluster PurpleHaze auf, der eine südasiatische Regierungseinheit mit der Windows-Backdoor GoReShell angriff. Dennoch betonen die Analysten, dass eine definitive Zuordnung der aktuellen CVE-2026-59310-Kampagne noch nicht möglich ist. Sicher ist nur: Die Angriffsmethodik, das schnelle Scannen nach Disclosure und die globale Opferzahl passen zum Muster erfahrener, möglicherweise staatlich geförderter Akteure. Unternehmen sollten deshalb unabhängig von der Attribution mit der gleichen Ernsthaftigkeit reagieren wie bei einem gezielten Angriff.

Empfohlene Indikatoren für eine eigene Suche

Organisationen sollten in ihren Logs nach folgenden Anzeichen suchen: unerwartete cron jobs auf der vCenter-Appliance, ausgehende SSH-Verbindungen zu unbekannten Hosts, das Vorhandensein von Binärdateien oder Skripten mit dem Namen reverse_ssh, sowie ungewöhnliche Zugriffe auf den Syslog-Dienst. QUIRSO weist darauf hin, dass reverse_ssh allein kein Beweis für einen Angriff ist. In Kombination mit unautorisierter Installation, unerwarteten ausgehenden Verbindungen oder Ausführung auf einer verwundbaren vCenter-Appliance ist es jedoch ein hochpriorer Indikator, der sofort untersucht werden muss. Eine schnelle erste Anlaufstelle für die Recherche ist der eigene EDR- oder SIEM-Datensatz der letzten vier Wochen, da die Kampagne Ende Juli und Anfang August 2026 begann.

Schutzmaßnahmen und Incident-Response-Checkliste

Priorität 1: Patches einspielen

Administratoren sollten so schnell wie möglich auf die gepatchten Versionen 9.1.0.0300, 9.0.2.0100 oder 8.0 U3k aktualisieren. Dabei empfiehlt es sich, vor dem Update ein Backup der vCenter-Konfiguration zu erstellen und die VMware-Dokumentation zum Upgrade-Prozess zu befolgen. Für Cloud-Foundation- und vSphere-Foundation-Kunden gelten die spezifischen Upgrade-Pfade des jeweiligen Produkts. Wer ein Patch-Management im August 2026 ohnehin auf Hochtouren fährt, sollte vCenter an die Spitze der Prioritätenliste setzen. Parallel empfiehlt sich ein Abgleich mit dem eigenen IT-Asset-Inventar, um vergessene oder abgekoppelte vCenter-Instanzen nicht zu übersehen.

Priorität 2: Netzwerksegmentierung und Exposure-Reduktion

Bis das Update flächendeckend eingespielt ist, muss der Zugriff auf vCenter auf das absolut notwendige Minimum reduziert werden. Best Practices sind: keine öffentliche Erreichbarkeit von vCenter aus dem Internet, strikte Firewall-Regeln, die nur definierte Management-Hosts erlauben, dedizierte Management-VLANs und die Abschaltung nicht benötigter Dienste. Organisationen sollten außerdem prüfen, ob der Syslog-Dienst aus Segmenten erreichbar ist, in denen normalerweise keine verwaltenden Systeme liegen, denn genau dort liegt die größte Gefahr. Eine kurzfristige Maßnahme ist die Beschränkung des vCenter-Zugriffs auf ein privates Jump-Host-Netzwerk mit Multi-Faktor-Authentifizierung.

Priorität 3: Forensische Untersuchung bereits laufender Systeme

Wer vermutet, bereits angegriffen worden zu sein, sollte die vCenter-Appliance auf folgende Artefakte untersuchen: neue oder veränderte cron jobs, unbekannte Benutzerkonten oder SSH-Keys, ungewöhnliche ausgehende Verbindungen, Dateien im /tmp- oder /var-Bereich sowie Auffälligkeiten in den Syslog-Verzeichnissen. Eine Neuinstallation der Appliance kann in schweren Fällen sicherer sein als eine Reinigung, weil Persistenzmechanismen tief im System verankert sein können. Parallel sollten alle ESXi-Hosts und darauf laufenden VMs auf Anzeichen einer lateralen Bewegung geprüft werden. In großen Umgebungen empfiehlt sich die Einbindung eines externen Incident-Response-Teams, um Rootkits oder modifizierte Appliance-Komponenten zuverlässig zu erkennen.

Priorität 4: Monitoring und Alarmierung

Auf lange Sicht empfiehlt sich ein erweitertes Monitoring für vCenter: Alarme auf neue cron jobs, Alarme auf ausgehende SSH-Verbindungen, Alarme auf Version-Scanning-Anfragen gegen /sdk/ und /websso, sowie eine regelmäßige Überprüfung der Dateiintegrität der vCenter-Appliance. Wer RCE-Schwachstellen in zentralen Infrastrukturkomponenten ernst nimmt, muss auch vCenter in seine SIEM- und SOAR-Strategie einbeziehen. Besonders wertvoll ist die Korrelation von vCenter-Logs mit Netzwerk-Flow-Daten: Sobald eine unerwartete ausgehende Verbindung vom vCenter-Host aus auftritt, sollte automatisch ein Alert erzeugt werden.

Zusammenfassung und Handlungsempfehlung

CVE-2026-59310 ist derzeit eine der gravierendsten akuten Bedrohungen für Unternehmen mit VMware-Infrastruktur. Die Kombination aus Netzwerk-erreichbarer RCE ohne Authentifizierung, einem CVSS-Base-Score von 9.8, der Verwendung von reverse_ssh für ausgehende Persistenz und bereits 361 nachgewiesenen kompromittierten IPs in 47 Ländern macht die Lücke zu einem sofortigen Handlungsfeld. Broadcom hat am 29. Juli 2026 Patches veröffentlicht, doch viele Installationen sind offenbar weiterhin ungeschützt, sonst wären nicht Hunderte Systeme weltweit kompromittiert worden.

Administratoren müssen jetzt handeln: vCenter-Version prüfen, Patch einspielen, Netzwerkzugriff einschränken und bei Verdacht forensisch untersuchen. Wer diese drei Schritte umsetzt, reduziert das Risiko einer vollständigen Übernahme des virtuellen Rechenzentrums drastisch. Im Kontext anderer aktueller CISA-KEV-gelisteter Schwachstellen zeigt CVE-2026-59310 erneut, dass zentrale Management- und Infrastrukturkomponenten die wertvollsten Angriffsziele darstellen und dass schnelles Patching die wirksamste Verteidigung bleibt.