Sicherheitswarnungen · 28. Oktober 2026
VMware ESXi: Angreifer nutzen Protokoll-Lücke, um ihre Spuren auf Hosts zu verwischen
Eine Lücke in VMware ESXi lässt Administratoren bestimmte Aktionen ausführen, ohne dass sie protokolliert werden. Eine staatlich gesteuerte Angreifergruppe hat das ausgenutzt. Updates gibt es seit Juli.
Worum es geht
VMware ESX/ESXi (Broadcom)
VMware ESXi ist in vielen Firmen die Grundlage für virtuelle Server. Die Lücke CVE-2026-41709 betrifft die Aufzeichnung von Verwaltungsaktionen: Wer bereits Administratorrechte auf dem Host hat, kann bestimmte Schritte ausführen, die nicht im Protokoll auftauchen. Für sich allein öffnet die Lücke keinen Zugang, deshalb hat Broadcom sie nur niedrig bewertet.
Laut der Sicherheitsfirma CrowdStrike hat eine China zugeordnete Gruppe die Lücke schon Anfang 2026 genutzt, bevor es ein Update gab. Die Angreifer kamen meist über Firewalls oder VPN-Geräte mit Internetzugang ins Netz, übernahmen danach die vCenter-Verwaltung und versteckten ihre Tätigkeit auf den Hosts. Die US-Behörde CISA hat die Lücke am 28. Oktober in ihre Liste aktiv ausgenutzter Schwachstellen aufgenommen.
Für ein KMU ist die Lücke vor allem ein Grund, ESXi auf den aktuellen Stand zu bringen und die Verwaltung der Virtualisierung gut abzuschirmen. Wer Hosts mit älteren Builds betreibt, kann sich im Ernstfall nicht auf die Protokolle verlassen.
Betroffen
- VMware ESXi 8.0 und 9.x vor den unten genannten Builds
- VMware Cloud Foundation und vSphere Foundation mit älteren ESXi-Builds
Behoben
- ESXi 8.0: ESXi80U3j-25429389; ESXi 9.0: ESXi-9.0.2.0100-25595025; ESXi 9.1: ESXi-9.1.0.0-25370933; Cloud Foundation 5.x: 5.2.4
Was jetzt zu tun ist
Die nächsten Schritte.
- 01
Im vSphere Client nachsehen, welcher ESXi-Build auf jedem Host läuft.
- 02
Hosts mit älterem Build auf den von Broadcom genannten Stand aktualisieren, bei Cloud Foundation 5.x auf Version 5.2.4.
- 03
Die Verwaltungsoberflächen von ESXi und vCenter nur aus einem eigenen Verwaltungsnetz erreichbar machen, nie direkt aus dem Internet.
- 04
Firewalls und VPN-Zugänge aktuell halten und mit Mehrfaktor-Anmeldung absichern, weil die Angreifer meist dort einsteigen.
- 05
Administratorkonten von ESXi und vCenter prüfen, unbekannte Konten entfernen und die Protokolle zusätzlich an ein separates System weiterleiten.
Unterstützung
Unsicher, ob Sie betroffen sind?
Wir prüfen Ihre Systeme, spielen die Updates ein und suchen nach Spuren eines Angriffs. Sie bekommen eine klare Antwort: betroffen oder nicht. Betreuungskunden müssen nichts tun, wir kümmern uns bereits darum.
Veröffentlicht am 28. Oktober 2026. Grundlage: The Hacker News · Cyber Security News · CISA Known Exploited Vulnerabilities. Von uns in eigenen Worten zusammengefasst; verbindlich sind die Hinweise des Herstellers. Alle Sicherheitswarnungen
Passend dazu