Thought Leadership
Angreifer nutzen eine gepatchte VMware-vCenter-Lücke aktiv aus. Über reverse_ssh sichern sie sich dauerhaften Fernzugriff auf Server.
Sicherheitsforscher des deutschen IT-Sicherheitsunternehmens QUIRSO warnen vor der aktiven Ausnutzung einer kritischen Sicherheitslücke in Broadcoms Virtualisierungssoftware VMware vCenter. Die Schwachstelle wird unter der Kennung CVE-2026-59310 geführt und erreicht den maximalen CVSS-Schweregrad von 9.8. Es handelt sich um einen Pfad-Durchlauf-Fehler (Directory Traversal), der entfernten Angreifer mit Netzwerkzugriff die Ausführung von beliebigem Programmcode ermöglicht.
Nach der ersten Kompromittierung richteten die Täter bösartige Cron-Jobs ein, um eine dauerhafte Präsenz auf den betroffenen Systemen zu verankern. Hierzu nutzten sie das Open-Source-Werkzeug reverse_ssh. Das Tool baut ausgehende SSH-Verbindungen zu den Befehlsservern der Angreifer auf, wodurch Inbound-Sicherheitskontrollen und Firewall-Regeln effektiv umgangen werden.
Ausmaß der Angriffe und vermutete Akteure
Die ersten Angriffsaktivitäten wurden am 3. August 2026 registriert, nur fünf Tage nach der öffentlichen Bekanntgabe der Lücke durch den Hersteller Broadcom Ende Juli. QUIRSO identifizierte bisher mindestens 361 eindeutige Opfer-IP-Adressen in 47 Ländern. Die am stärksten betroffenen Systeme befinden sich in Deutschland, den USA, der Türkei, dem Iran und Frankreich. Die Analysten von QUIRSO erklärten zum zeitlichen Ablauf:
„Während der Angreifer möglicherweise Vorwissen über die Schwachstelle hatte, deutet die starke Korrelation zwischen dem Zeitpunkt der Offenlegung und der Ausnutzung auf die Veröffentlichung als Ausgangspunkt der Kampagne hin.“
QUIRSO
Die Ermittler vermuten eine fortgeschrittene, staatlich unterstützte Hackergruppe (APT) hinter der Kampagne. In der Vergangenheit nutzten chinesische Spionage-Gruppen wie UNC5174 oder PurpleHaze vergleichbare Muster und Werkzeuge wie reverse_ssh oder GoReShell, um VMware-Infrastrukturen gezielt zu kapern.
Parallele Abtastversuche auf weitere vCenter-Lücken
Zusätzlich zu den bestätigten Einbrüchen meldet das Sicherheitsunternehmen Defused Cyber eine deutliche Zunahme automatisierter Scans auf eine zweite VMware-Lücke. Dabei handelt es sich um CVE-2026-59309 (CVSS 9.8), eine Umgehung der Authentifizierung in der Komponente vmdir.
Administratoren von VMware vCenter werden dringend angewiesen, die bereitgestellten Sicherheitspatches einzuspielen sowie bestehende Systemprotokolle und Cron-Jobs auf unerwartete reverse_ssh-Prozesse oder ausgehende SSH-Verbindungen zu überprüfen.
(red)
