LONDON (IT BOLTWISE) – Eine neu gepatchte Sicherheitslücke in VMware vCenter wird nach ersten Analysen gezielt ausgenutzt: CVE-2026-59310 (CVSS 9,8) ermöglicht eine nicht-interaktive Code-Ausführung im Root-Kontext. Der Angriff startet offenbar wenige Tage nach der Veröffentlichung der Details und folgt dabei einem klaren Ablauf über Cron, WebSocket-basierte Backdoors und mehrere Maskierungsmechanismen. Die Auswertung nennt zudem eine Größenordnung von 361 betroffenen Ziel-IP-Adressen in 47 Ländern und berichtet über häufige Infektionsherde unter anderem in Deutschland. Für Betreiber von vCenter-Server-Appliances wird damit die schnelle Patch-Einhaltung zur entscheidenden Abwehrmaßnahme.
Wenn Angreifer eine vCenter-Umgebung übernehmen, geschieht das in der Praxis selten über „normale“ Nutzerrechte. Genau dieses Muster sticht in der aktuellen Vorfallbeschreibung besonders hervor: Eine neu gepatchte Schwachstelle in Broadcoms VMware vCenter soll unmittelbar in eine Root-Ausführung gemündet haben. Konkret geht es um CVE-2026-59310 mit einem CVSS-Score von 9,8, einer schweren Directory-Traversal-Schwachstelle, die ein Angreifer in der vCenter-Server Appliance so nutzen kann, dass er beliebigen Code nachladen und ausführen lässt. Dass die Behebung bereits am 29. Juli 2026 veröffentlicht wurde, macht den Zeitdruck für Unternehmen besonders deutlich, denn die darauf folgende Ausnutzung wird auf einen Start rund fünf Kalendertage nach der öffentlichen Bekanntgabe eingeordnet.
Für die Zielrichtung der Kampagne liefern die Analysen mehrere Indizien, die zwar keine „harte“ Attribution ersetzen, aber als zusammenhängendes Muster gelesen werden. Laut den Einschätzungen einer deutschen Incident-Response-Organisation (QUIRSO) deute das Vorgehen auf einen mutmaßlich chinesischsprachigen Threat Actor hin, der vermutlich in einem Arbeitsfenster agiert, das mit UTC+08:00 kompatibel sei. Die Begründung basiert unter anderem auf chinesischsprachigen Artefakten in Skripten, einer wiederholten Nutzung chinesischsprachiger Tools und Management-Software sowie auf „Victimology“, die mainland China eher ausschließt. Zusätzlich soll sich das Aktivitätsmuster mit Zeitfenstern decken, wie sie in der entsprechenden Zeitzone typischerweise vorkommen.
In Zahlen wird die Größenordnung der Ausnutzung greifbarer: Die Aktivität habe über mindestens 361 eindeutige Ziel-IP-Adressen in 47 Ländern zu Kompromittierungen geführt, wobei Deutschland mit 55 Infektionen, gefolgt von den USA (41), der Türkei (38), Iran (26) und Frankreich (25), besonders häufig genannt werden. Auffällig ist zudem, dass ein kompromittierter vCenter Server Appliance in der Untersuchung sowohl CVE-2026-59310 als auch CVE-2026-59309 berührt haben soll. CVE-2026-59309 wird dabei als Authentifizierungs-Bypass beschrieben, begleitet von aktiven Scan-Phasen; Hinweise würden demnach auf frühe Aktivitäten ab dem 1. August 2026 hindeuten, einschließlich der Anlage eines Administratorkontos. Gleichzeitig melden die Analysen, dass Logins für das neu geschaffene, „legitim“ wirkende Administratorkonto später nicht beobachtet wurden, obwohl die Kontoerstellung aus einer konkreten IP-Adresse heraus erfolgt sein soll und vSphere-Discovery per REST API über bestimmte User-Agent-Strings versuchte, wie VMware-nahe Aktivität zu imitieren.
Technisch betrachtet zeigt der Ablauf bei CVE-2026-59310 ein Vorgehen, das stark auf instrumentierte Ausführung über Cron setzt. Zuerst soll der Cron-Daemon ein speziell benanntes, fehlerhaftes Cron-File mit dem Namen „zz-poc59310-syslog.log“ protokolliert haben. Im nächsten Schritt werde dann mit curl (alternativ wget) ein Backdoor-Payload aus einem Zielserver geholt und ausgeführt, anschließend wird die Logdatei wieder entfernt. Die Namenskonvention wird dabei als direkter Rückbezug auf die CVE-Nummer und als Proof-of-Concept-Signatur beschrieben; das „syslog“-Suffix spiegelt zudem eine Remote-syslog-Namenslogik wider, taucht in diesem Fall aber in einem privilegierten Ausführungsort unter /etc/cron.d auf. Diese Kombination aus „syslog“-Anmutung und Cron-Platzierung zielt darauf, dass Dateien in einer Pfadlogik landen, die Cron zuverlässig interpretiert.
Im Kern liefert das genutzte Exploit-Szenario dem Angreifer dann eine nicht-interaktive Code-Ausführung im Root-Kontext auf der vCenter Server Appliance. Die Folge: Sobald CROND die fehlerfrei verwendbaren Cron-Definitionen ausführt, laufen die nachfolgenden Kommandos bereits als Root, ohne dass vorher ein unprivilegierter lokaler Account kompromittiert und anschließend eskaliert werden müsste. Die Backdoor „linuxFile“ ist laut Beschreibung für Remote Command Execution ausgelegt, hält dabei über einen WebSocket-Kanal Kontakt zum Controller, führt Befehle über /bin/sh aus und übermittelt Ergebnisse zurück. Zusätzlich werden Details zur Verschleierung genannt: Die C2-Adresse sei XOR-obfuskiert und werde erst zur Laufzeit decodiert, während die Kommunikation durch eigene Anwendungsschicht-Kryptografie abgesichert sei, obwohl der Transport als unverschlüsseltes ws: // erfolgt. Darüber hinaus soll die Malware automatisches Reconnections bei Fehlschlägen unterstützen sowie Persistence über systemd und Cron etablieren.
Für Betreiber ist besonders lehrreich, wie konsequent der Angriff in Richtung „Blend-in“-Mechanismen arbeitet. Es werden offenbar mehrere Cronjobs genutzt, unter anderem um eine Shell-Komponente („esxi.sh“) zu laden, die als Downloader und Persistence-Installer für eine Architektur-spezifische Reverse-SSH-Binary dient. Parallel sollen Angreifer Cronjobs angelegt haben, die VMware-Diensten ähneln, wobei sie beispielsweise eine SSH-basierte Fernzugriffsmöglichkeit über das Eintragen eines Angreifer-SSH-Keys in authorized_keys aufbauen, außerdem Webshell-Komponenten wie „vmware-perf-update.jsp“ platzieren und anschließend eine Folgephase für Credential Access sowie das Anlegen neuer Konten startet. In der Darstellung werden zudem systemweite Rechteeskalationen über eine Datei in /etc/sudoers.d beschrieben, die einem Dienstkonto „perfcharts“ ein uneingeschränktes, nicht-interaktives Passwortlos-Sudo auf Root erlauben soll. Am Ende wird dem Szenario nach eine Babuk-derivierte Ransomware-Logik angedeutet, bei der Dateien auf ESXi-Hosts mit der Endung „.babyk“ verschlüsselt werden; zugleich bleibt laut Analyse offen, ob das reine Locker-Deployment (also das „Ausschalten“ von Telemetrie oder das Erzeugen von Verwirrung) tatsächlich das Hauptziel war, oder ob die Ransomware opportunistisch ausgewählt wurde, um Attribution zu erschweren.
Auch der für die Verteidigung entscheidende „Spuren“-Aspekt wird angesprochen: In der Analysesequenz wird beschrieben, dass ein Toolset über eine AList-Verzeichnisauflistung erreichbar gewesen sein soll. Außerdem ordnen die Analysten das Vorgehen als eine Art Smokescreen ein, der Defender von der eigentlichen Intrusion ablenken soll, unter anderem indem ESXi-Logdateien verschlüsselt würden. Für Unternehmen bedeutet das praktisch: Ein patchiertes vCenter ist notwendig, aber nicht hinreichend; entscheidend ist ebenso, ob nach der Patchphase Telemetrie, Rechtevergabe, Cron-Änderungen, neue Administratorkonten und ungewöhnliche REST-API-Aktivitäten geprüft wurden. Gerade Umgebungen, die mit zentraler Cloud-Foundation-Verwaltung (VCF) betrieben werden, sollten die Rollen- und Management-Kette im Blick behalten, weil dort Komponenten wie vCenter, NSX Manager und vSphere Cluster zwar normal orchestriert werden, aber in einem kompromittierten Zustand auch als Hebel für koordinierte Angriffe dienen können.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "VMware vCenter: CVE-2026-59310 wird für Root-Zugriff und Babuk-ähnliche Verschlüsselung missbraucht" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "VMware vCenter: CVE-2026-59310 wird für Root-Zugriff und Babuk-ähnliche Verschlüsselung missbraucht" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »VMware vCenter: CVE-2026-59310 wird für Root-Zugriff und Babuk-ähnliche Verschlüsselung missbraucht« bei Google Deutschland suchen, bei Bing oder Google News!