Kritische RCE-Schwachstelle in VMware vCenter für Reverse-SSH-Zugriff ausgenutzt

Angreifer nutzen aktiv eine kritische Schwachstelle in VMware vCenter aus, um ein Reverse-SSH-Tool zu installieren, das dauerhaften Fernzugriff auf kompromittierte Systeme ermöglicht.

Die RCE-Schwachstelle in VMware vCenter, die als CVE-2026-59310 geführt wird, betrifft den vCenter Syslog Server. Forscher haben 361 betroffene IP-Adressen in 47 Ländern identifiziert, wobei sich viele Opfer in Deutschland, den USA, der Türkei, dem Iran und Frankreich befinden.

Angreifer nutzen bereits gepatchte vCenter-Schwachstelle aus

Broadcom veröffentlichte CVE-2026-59310 am 29. Juli und stufte die Schwachstelle als kritisch ein. Die Directory-Traversal-Lücke ermöglicht es einem nicht authentifizierten Angreifer mit Netzwerkzugriff, beliebigen Code auf einem anfälligen vCenter Syslog Server auszuführen.

Broadcom hat weder einen Workaround noch andere Maßnahmen zur Risikominderung bereitgestellt. Stattdessen fordert das Unternehmen Administratoren dazu auf, das Notfall-Sicherheitsupdate so schnell wie möglich zu installieren.

Die gepatchten Versionen sind:

• vCenter 9.1: 9.1.0.0300
• vCenter 9.0: 9.0.2.0100
• vCenter 8.0: 8.0 U3k oder 8.0 U2f, abhängig vom jeweiligen Versionszweig

VMware vCenter ermöglicht Administratoren die zentrale Kontrolle über virtuelle Maschinen, ESXi-Hosts, Konfigurationen und Zugriffsberechtigungen. Eine erfolgreiche Kompromittierung kann Angreifern daher einen Weg in kritische Bereiche der Infrastruktur eines Unternehmens eröffnen.

Kampagne begann wenige Tage nach Veröffentlichung des Patches

Das auf digitale Forensik und Incident Response spezialisierte Unternehmen QUIRSO beobachtete ab dem 3. August kompromittierte vCenter-Systeme, die Verbindungen zu einer von Angreifern kontrollierten Infrastruktur herstellten.

Die Aktivität begann nur fünf Tage, nachdem Broadcom die Sicherheitswarnung veröffentlicht und die Updates bereitgestellt hatte.

Die Zahl der beobachteten Opfer stieg schnell. Am 4. August entdeckten die Forscher 151 neue betroffene IP-Adressen. Bereits am folgenden Tag lag die Gesamtzahl bei 343.

Bis zum 7. August hatte QUIRSO 361 betroffene IP-Adressen in 47 Ländern identifiziert. Die Zahlen beziehen sich auf exponierte Systeme, die im Rahmen der Kampagne entdeckt wurden, und müssen daher nicht alle kompromittierten Organisationen umfassen.

Reverse SSH ermöglicht dauerhaften Zugriff

Nachdem die Angreifer Zugriff auf anfällige vCenter-Server erlangt hatten, installierten sie das Open-Source-Framework reverse_ssh.

Das Tool stellt eine ausgehende Verbindung zu einer von den Angreifern kontrollierten Infrastruktur her. Dadurch können sie dauerhaften Fernzugriff erhalten und gleichzeitig Firewall-Regeln sowie andere Kontrollen für eingehenden Netzwerkverkehr umgehen.

QUIRSO veröffentlichte eine allgemeine YARA-Regel zur Erkennung von reverse_ssh-Client-Binärdateien. Sicherheitsteams sollten Treffer jedoch sorgfältig überprüfen, da auch legitime Installationen des Tools die Regel auslösen können.

Die Forscher vermuten, dass ein Advanced-Persistent-Threat-Akteur hinter der Kampagne stehen könnte. Sie haben jedoch keine Beweise für diese Zuordnung veröffentlicht und halten detaillierte Indikatoren zurück, während sie mit Strafverfolgungsbehörden zusammenarbeiten.

Administratoren sollten sofort aktualisieren

Organisationen, die VMware vCenter einsetzen, sollten exponierte Syslog-Server-Instanzen identifizieren und unverzüglich die entsprechende gepatchte Version installieren.

Sicherheitsteams sollten außerdem Protokolle auf unerwartete ausgehende SSH-Verbindungen prüfen, verdächtige Prozesse untersuchen und nach Anzeichen für reverse_ssh-Binärdateien oder andere Persistenzmechanismen suchen.

Da diese RCE-Schwachstelle in VMware vCenter keine Authentifizierung erfordert, stellen ungepatchte Systeme, die über das Netzwerk erreichbar sind, ein besonders hohes Risiko dar. Schnelles Patchen und eine gezielte Überprüfung auf Anzeichen einer Kompromittierung sind daher entscheidend, insbesondere bei vCenter-Servern, die Produktionsumgebungen verwalten.