Spurlos im Hypervisor: Angreifer nutzen VMware-ESX-Lücke CVE-2026-41709, um ihre Spuren zu verwischen

Eine Sicherheitslücke mit dem Schweregrad „niedrig“ steht seit dem 28. Oktober auf der Liste aktiv ausgenutzter Schwachstellen der US-Cybersicherheitsbehörde CISA. Die Lücke CVE-2026-41709 in VMware ESX hat nur einen CVSS-Wert von 2.7. Angreifer haben sie trotzdem gezielt eingesetzt, damit ihre Aktivitäten auf dem Server nicht im Protokoll auftauchen. Broadcom hat das Update schon im Juli veröffentlicht. Wer seine ESX-Server seitdem nicht aktualisiert hat, sollte das jetzt tun und zugleich prüfen, ob auf den Hosts unbemerkt etwas passiert ist.

Was ist passiert

VMware ESX (früher ESXi) ist der Hypervisor, auf dem in vielen Unternehmen sämtliche virtuellen Server laufen: Dateiserver, Warenwirtschaft, Mailserver, Domänencontroller. Die Lücke CVE-2026-41709 betrifft die Protokollierung. Ein Angreifer mit Administratorrechten auf dem Host kann bestimmte Aktionen ausführen, ohne dass sie im Protokoll landen. Die Lücke verschafft für sich genommen keinen Zugang. Wer aber schon drin ist, kann damit seine Spuren verwischen. Daher die niedrige Einstufung.

Laut dem Sicherheitsanbieter CrowdStrike hat die chinesische Gruppe Warp Panda die Lücke Anfang 2026 als Zero-Day genutzt, also bevor es ein Update gab. Getroffen hat es unter anderem Anwaltskanzleien in den USA. Nach den veröffentlichten Berichten liefen die Angriffe ungefähr so ab:

• Einstieg über Firewalls und VPN-Gateways, die aus dem Internet erreichbar waren
• Weiter zu VMware vCenter, Einrichtung dauerhafter Hintertüren (unter anderem die Schadsoftware BRICKSTORM)
• Verwischen der Spuren auf den ESX-Hosts mithilfe von CVE-2026-41709
• Diebstahl von Sitzungstokens, um ohne Passwortabfrage auf Microsoft 365 zuzugreifen
• In mindestens einem Fall: Registrierung eines eigenen MFA-Geräts, damit der Zugang auch nach einem Passwortwechsel bestehen blieb

Am 28. Oktober 2026 hat die CISA die Lücke in ihren Katalog „Known Exploited Vulnerabilities“ (KEV) aufgenommen. US-Bundesbehörden müssen das Update bis zum 11. November einspielen.

Wer ist betroffen

Betroffen sind ESX-Hosts, die noch nicht auf die Versionen aus dem Broadcom-Sicherheitshinweis VMSA-2026-0006 (Juli 2026) aktualisiert wurden. Die Lücke ist unter anderem behoben in:

• ESX 8.0: ESXi80U3j-25429389 oder neuer
• ESX 9.0 (VCF/vSphere Foundation): ESXi-9.0.2.0100-25595025
• ESX 9.1 (VCF/vSphere Foundation): ESXi-9.1.0.0-25370933 oder neuer
• VMware Cloud Foundation 5.x: 5.2.4

Derselbe Hinweis schließt noch weitere, deutlich gefährlichere Lücken. Darunter sind zwei kritische Fehler in vCenter (CVSS 9.8) und ein Ausbruch aus der virtuellen Maschine über den Netzwerkadapter VMXNET3 (CVSS 9.3). Für ESX 8.0 empfiehlt sich deshalb gleich 8.0 U3k (ESXi80U3k-25595708) und für vCenter 8.0 8.0 U3k. Diese Stände decken alle Lücken des Hinweises ab.

Einen Workaround gibt es laut Broadcom nicht. Für ESX 7.0 verweist Broadcom auf Kunden mit erweitertem Supportvertrag. Viele kleinere Unternehmen hängen hier fest. Denn seit der Übernahme durch Broadcom erhalten Kunden ohne aktives Abonnement keine Sicherheitsupdates mehr, auch wenn sie eine unbefristete Lizenz besitzen.

Was Sie jetzt tun sollten

1. Versionen prüfen: Stellen Sie für jeden ESX-Host und jeden vCenter fest, welcher Build läuft. Hosts ohne die oben genannten Builds haben Vorrang.
2. Aktualisieren: Spielen Sie ESX und vCenter auf den aktuellen Patchstand, bei 8.0 also auf U3k. Planen Sie dafür ein Wartungsfenster mit vMotion oder kurzer Downtime ein.
3. Protokolle auslagern: Leiten Sie die Protokolle von ESX und vCenter per Syslog an ein zentrales System weiter, das Host-Administratoren nicht verändern können. Ein Update macht die lokalen Protokolle eines bereits kompromittierten Hosts nicht wieder vertrauenswürdig.
4. Verwaltung abschotten: vCenter- und ESX-Oberflächen dürfen nie aus dem Internet erreichbar sein. Schalten Sie SSH auf den Hosts ab, wenn es nicht gebraucht wird, und erlauben Sie den Zugriff auf vCenter nur mit Mehr-Faktor-Anmeldung.
5. Microsoft 365 prüfen: Kontrollieren Sie die registrierten MFA-Methoden Ihrer Administratoren und wichtiger Konten. Beenden Sie bei Verdacht alle aktiven Sitzungen. Ein reiner Passwortwechsel reicht nicht, wenn ein fremdes MFA-Gerät hinterlegt ist.
6. Firewall und VPN aktualisieren: Dort beginnen solche Angriffe. Halten Sie Ihre Edge-Geräte auf dem aktuellen Stand und kontrollieren Sie deren Zugänge.

Gibt es Hinweise auf eine Kompromittierung, zum Beispiel unerklärliche Admin-Anmeldungen, unbekannte Dateien auf den Hosts oder neue MFA-Geräte, holen Sie sich Unterstützung für eine forensische Untersuchung, bevor Sie Systeme neu aufsetzen.

Wie Sadeem hilft

Wir übernehmen das Patchen Ihrer VMware-Umgebung als Projekt oder dauerhaft im Rahmen unseres Managed-Betriebs: Bestandsaufnahme, Updates im Wartungsfenster, zentrale Protokollierung, Monitoring und Backups mit Rechenzentrumsstandort in Deutschland bzw. der EU. Bei Bedarf prüfen wir auch Ihren Microsoft-365-Tenant auf verdächtige Anmeldungen und fremde MFA-Geräte.

Wenn Sie wegen fehlender Updates oder steigender Lizenzkosten über einen Wechsel nachdenken, zeigen wir Ihnen, wie ein Umstieg auf Proxmox VE aussehen kann. Die Plattform ist quelloffen, hat keine Lizenzfallen, und Sicherheitsupdates gibt es auch ohne Abo. Wir planen und migrieren mit Ihnen und betreiben die Umgebung auf Wunsch danach weiter.

Sprechen Sie uns an, das Erstgespräch ist kostenlos.

Quellen

• Broadcom: VMSA-2026-0006 – VMware ESX, vCenter, Workstation und Fusion
• CISA: CISA Adds Two Known Exploited Vulnerabilities to Catalog (28.10.2026)
• NVD: CVE-2026-41709
• The Hacker News: China-Linked Hackers Exploited VMware ESX Zero-Day to Reduce Audit Trail Visibility
• Rescana: VMware ESX CVE-2026-41709 – Low-Rated Logging Flaw Now in CISA KEV
• The Register: VMware patch download problems (Juli 2025)