Bösartige Akteure haben es auf eine Sicherheitslücke in VMware vCenter Syslog Server abgesehen, die ihnen das Einschleusen und Ausführen von Schadcode ermöglicht. Sie nisten sich damit in verwundbaren Systemen ein.

Das melden die IT-Sicherheitsforscher von Quirso in einem Beitrag auf der Plattform „Medium“. Es geht um die Path-Traversal-Schwachstelle im vCenter Syslog Server, vor der Broadcom Ende Juli dieses Jahres gewarnt und seitdem einen Softwareflicken zum Abdichten der Lücke bereitgestellt hat (CVE-2026-59310, CVSS 9.8, Risiko „kritisch“). Temporäre Gegenmaßnahmen zur Risikoreduktion gibt es nicht, einzig die Aktualisierung auf die korrigierten Softwarestände VMware vCenter 9.1.0.0300, 9.0.2.0100, 8.0 U3k sowie 8.0 U2f oder neuer helfen, das Codeschmuggel-Leck abzudichten. Admins finden die aktualisierte Software und Installationshinweise in Broadcoms Sicherheitsmitteilung – die bislang noch keine Hinweise auf die laufenden Attacken enthält.

Die IT-Forscher haben kompromittierte Geräte untersucht und sind dabei auf eine größere Menge betroffener Systeme gestoßen. Am Dienstag dieser Woche zählten sie 361 IP-Adressen unterwanderter VMware vCenter-Instanzen, von denen 55 in Deutschland stehen, an zweiter Stelle gefolgt von den USA mit 41 Adressen und der Türkei mit 38 IPs. Die Kampagne startete kurz nachdem die Schwachstelle bekannt wurde – das war am 29. Juli dieses Jahres, erste infizierte Systeme haben die Infrastruktur der Angreifer fünf Tage später, ab dem 3. August, kontaktiert. Zwei Tage später tauchten dort bereits 343 der 361 IP-Adressen auf.

Eingenistete Angreifer

Die IT-Forscher berichten weiter, dass die bösartigen Akteure sich mittels der „reverse_ssh“ in die Systeme eingenistet haben, einem quelloffenen SSH-basierten Reverse-Shell-Framework. Das dient eigentlich dem sogenannten Pentesting, also Abklopfen auf Schwachstellen, und bringt dafür Funktionen wie automatische Verbindung, SSH-Port-Forwarding, Dateitransfer und praktischerweise auch die Verwaltung der Remote Shell mit. IT-Verantwortliche sollten ihre VMware-vCenter-Syslog-Server überprüfen, ob sie auf aktuellem Stand sind, und besonders genau hinschauen, wenn unerwartet Software wie reverse_ssh auf ihren Instanzen läuft.

(dmk)