Eine kritische Sicherheitslücke im VMware vCenter Syslog Server wird aktiv ausgenutzt. Angreifer schleusen darüber Schadcode ein, führen ihn aus und richten sich anschließend dauerhaft in den betroffenen Systemen ein. Die Path-Traversal-Schwachstelle läuft unter CVE-2026-59310, trägt einen CVSS-Wert von 9.8 und gilt damit als kritisch.
Broadcom hatte Ende Juli vor der Lücke gewarnt und seitdem einen Patch bereitgestellt. Temporäre Gegenmaßnahmen zur Risikoreduktion gibt es nicht. Wer die Lücke schließen will, muss aktualisieren, und zwar auf VMware vCenter 9.1.0.0300, 9.0.2.0100, 8.0 U3k oder 8.0 U2f beziehungsweise neuer.
Deutschland führt die Liste an
Die IT-Sicherheitsforscher von Quirso haben kompromittierte Systeme untersucht und dabei mehr gefunden, als ihnen lieb war. Zuletzt zählten sie 361 IP-Adressen unterwanderter vCenter-Instanzen. Davon stehen 55 in Deutschland, gefolgt von den USA mit 41 und der Türkei mit 38 Adressen.
Der zeitliche Ablauf zeigt, wie wenig Puffer zwischen Veröffentlichung und Angriff liegt. Die Schwachstelle wurde am 29. Juli bekannt. Fünf Tage später, ab dem 3. August, meldeten sich die ersten infizierten Systeme bei der Infrastruktur der Angreifer. Zwei Tage danach tauchten dort bereits 343 der 361 Adressen auf. Aus einer Woche Reaktionszeit wird in der Praxis also eher ein Wochenende.
reverse_ssh als Wohnzimmer
Zum Einnisten greifen die Angreifer zu reverse_ssh, einem quelloffenen Reverse-Shell-Framework auf SSH-Basis. Gedacht ist das Werkzeug für Pentesting, und es bringt dafür alles mit, was auch einem Angreifer gefällt: automatischen Verbindungsaufbau, SSH-Port-Forwarding, Dateitransfer und eine bequeme Verwaltung der Remote Shell.
Genau das macht die Erkennung unangenehm. reverse_ssh ist legitime Software, die in einer Admin-Toolbox nicht sofort auffällt. Wenn sie allerdings auf einem vCenter-Syslog-Server läuft, den niemand aus dem Team dort installiert hat, ist die Sache klar.
Was du prüfen solltest
Bring deine vCenter-Installationen auf einen der korrigierten Stände. Danach schau dir die betroffenen Systeme genauer an, statt nur den Patch abzuhaken. Läuft unerwartet Software wie reverse_ssh auf der Instanz? Gibt es ausgehende SSH-Verbindungen zu Zielen, die dort nichts zu suchen haben? Ein System, das zwischen dem 29. Juli und dem Patchtermin aus dem Netz erreichbar war, gilt bis zum Gegenbeweis als angefasst.
Ein Hinweis noch zur Einordnung: Broadcoms Sicherheitsmitteilung enthielt zuletzt keinen Vermerk auf die laufenden Angriffe. Dass ein Advisory nichts von aktiver Ausnutzung schreibt, heißt also nicht, dass keine stattfindet.