Die kritische Lücke CVE-2026-59310 im Syslog-Server von VMware vCenter wird seit dem 3. August 2026 aktiv ausgenutzt. Angreifer führen ohne Anmeldung Code aus und installieren das Werkzeug reverse_ssh. Berichten zufolge sind 361 IP-Adressen in 47 Ländern betroffen. Es gibt keinen Workaround, gepatcht sind vCenter 9.1.0.0300, 9.0.2.0100 sowie 8.0 U3k und 8.0 U2f.
Die Lücke CVE-2026-59310 in VMware vCenter wird seit dem 3. August 2026 für echte Angriffe genutzt. Wer vCenter betreibt, muss patchen, denn Broadcom nennt keinen Workaround.
Das Wichtigste in Kürze
- Die Lücke ist kritisch und braucht keine Anmeldung. Ein Angreifer mit Netzwerkzugang führt über den Syslog-Server beliebigen Code aus.
- Die Angriffe laufen seit dem 3. August. Das ist fünf Tage nach der Veröffentlichung am 29. Juli 2026.
- Es gibt keinen Workaround. Nur das Update schützt.
- Gepatcht sind vCenter 9.1.0.0300, 9.0.2.0100 sowie 8.0 U3k und 8.0 U2f. Welche Version passt, hängt vom Zweig ab.
Was über die vCenter-Lücke bekannt ist
Die Berichte von BleepingComputer und Infosecurity Magazine erschienen am 13. August 2026 erstmals, Aktualisierungen gibt es nicht. Der Fehler steckt im Syslog-Server von VMware vCenter. Ein Angreifer mit Netzwerkzugang nutzt eine Directory-Traversal-Schwäche und führt ohne Anmeldung beliebigen Code aus. Infosecurity Magazine nennt einen CVSS-Wert von 9,8.
Bekannt wurde die Lücke am 29. Juli 2026. Am 3. August begannen die ersten Angriffe, also nur fünf Tage später. Danach ging es schnell: BleepingComputer meldet 151 neue Opfer-Adressen allein am 4. August und insgesamt 361 betroffene IP-Adressen in 47 Ländern bis zum 7. August. Mehr als die Hälfte davon verteilt sich auf fünf Länder in Europa, Nordamerika und Asien, darunter die USA, die Türkei, der Iran und Frankreich. Infosecurity Magazine nennt dieselbe Zahl schon für den 5. August, die Zählweise unterscheidet sich also je nach Quelle.
So gehen die Angreifer vor
Dabei installieren die Täter nach dem Einbruch das quelloffene Werkzeug reverse_ssh. Es baut von innen eine ausgehende Verbindung zum Angreifer auf. Damit umgehen sie Firewall-Regeln, die nur eingehenden Verkehr blockieren, und halten sich dauerhaft im System.
| Zweig | Gepatchte Version | Bemerkung |
|---|---|---|
| vCenter 9.1 | 9.1.0.0300 | Update des 9.1-Zweigs, kein Workaround vorhanden |
| vCenter 9.0 | 9.0.2.0100 | Update des 9.0-Zweigs, kein Workaround vorhanden |
| vCenter 8.0 | 8.0 U3k oder 8.0 U2f | Welche Fassung gilt, hängt vom Zweig ab |
Zudem hat die Firma QUIRSO Regeln zur Erkennung veröffentlicht. Sie schlagen laut BleepingComputer auch bei legitimer Nutzung von reverse_ssh an. Prüfe Treffer deshalb im Einzelfall.
Was Admins jetzt tun
- Stelle fest, welche vCenter-Versionen du betreibst, auch in Test- und Standortumgebungen.
- Spiele den passenden Patch noch heute ein. Ein Workaround existiert nicht.
- Beschränke den Netzwerkzugang zum vCenter, soweit es der Betrieb zulässt.
- Suche in Logs und auf dem System nach reverse_ssh und nach ausgehenden Verbindungen, die dort nicht hingehören.
- Gilt ein System als kompromittiert, prüfe es gründlich, bevor du es wieder in Betrieb nimmst.
Schnelle Updates bei ausgenutzten Lücken zeigt auch der Beitrag zu MikroTik RouterOS.
Fazit
Die Angriffe laufen, und ein Ausweichen gibt es nicht. Wer vCenter betreibt, braucht das Update jetzt. Erst danach lohnt sich die Suche nach Spuren eines früheren Einbruchs.
Quellen: BleepingComputer, Infosecurity Magazine. Foto: Akela999 / Pixabay. Stand: 13. August 2026.
Recherche und Entwurf KI-gestützt, geprüft und freigegeben von Andreas Brauckmann · So arbeitet die Redaktion
Änderungshistorie
- — Artikel veröffentlicht.