Angreifer nutzen Sicherheitslücken in VMware ESX und in älteren Linux-Kerneln aus, um ihre Spuren zu verwischen oder nach einem Einbruch an mehr Rechte zu kommen. Die US-Behörde CISA hat beide Schwachstellen in ihren Katalog der Known Exploited Vulnerabilities aufgenommen und die Angriffe damit bestätigt.
VMware ESX: Admin-Aktionen ohne Protokoll
Die ESX-Lücke (CVE-2026-41709) ist seit Ende Juli bekannt und steckt im Logging der Virtualisierungssoftware. Admins können bestimmte Operationen ausführen, ohne dass sie protokolliert werden. Broadcom bewertet das mit CVSS 2.7 als niedriges Risiko und bleibt bisher dabei, obwohl die Lücke inzwischen aktiv missbraucht wird. Angesichts der Angriffe wirkt diese Einstufung reichlich harmlos.
Wie das in der Praxis aussieht, beschreibt Crowdstrike in seinem aktuellen Bericht zur Bedrohungslage der Rechtsbranche. Die China zugeordnete Gruppe "Warp Panda" hat demnach US-Unternehmen aus dem juristischen Umfeld angegriffen und verschiedene Malware in deren vCenter-Umgebungen platziert. Die Logging-Lücke nutzte sie als Zero-Day, um keine Spuren zu hinterlassen.
Linux-Kernel: Fragnesia nach php2shell
Seit Dienstag ist bekannt, dass die PHP-Lücken rund um "php2shell" erfolgreich angegriffen werden. Laut dem Sicherheitsunternehmen Dream haben ebenfalls China zugeordnete Angreifer in einer mutmaßlich KI-gestützten Kampagne 25 Firewall-Server in den USA, Japan, Taiwan und Südkorea übernommen. Welches Produkt betroffen ist, sagt Dream nicht. Palo Alto Networks warnt allerdings seit Mittwoch vor aktiven Angriffen auf die php2shell-Lücken in seinem Firewall-Betriebssystem PAN-OS und stellt Hotfixes bereit.
Nach dem Einbruch folgte auf den Zielsystemen die Rechteausweitung über die Linux-Kernel-Lücke "Fragnesia" (CVE-2026-46300, CVSS 7.8, Risiko hoch). Microsoft hatte schon Mitte Mai davor gewarnt, gepatchte Kernel gibt es seit Monaten.
Was Du tun solltest
Prüf, ob in Deiner Umgebung noch Server mit alten Softwareständen laufen, und hol die Updates zügig nach. Für VMware ESX liefert Broadcom seit Ende Juli Patches, die php2shell-Lücken hat das PHP-Team vergangene Woche geschlossen. Die Kombination zeigt gut, warum ein alter Kernel kein Detail ist: Die eine Lücke bringt Angreifer ins System, die nächste macht sie zu Root.