Mit China verbundene Hacker nutzen kritische VMware-vCenter-Lücke aus und kompromittieren 361 Organisationen in 47 Ländern

Eine mutmaßlich mit China verbundene Advanced-Persistent-Threat-Gruppe (APT) hat eine kritische Directory-Traversal-Schwachstelle in Broadcom VMware vCenter ausgenutzt, um 361 eindeutige Opfer-IP-Adressen in 47 Ländern zu kompromittieren, so die deutsche Incident-Response-Firma QUIRSO. Die Ausnutzungskampagne begann nur fünf Kalendertage, nachdem Broadcom die Schwachstelle am 29. Juli 2026 öffentlich offengelegt und behoben hatte.

Eine schwerwiegende, schnell agierende Schwachstelle

Die als CVE-2026-59310 geführte Schwachstelle hat einen CVSS-Score von 9,8 — nahe der maximalen Schweregradstufe — und ermöglicht es einem böswilligen Akteur, beliebigen Code auf betroffenen vCenter-Servern auszuführen. VMware vCenter ist die zentrale Verwaltungsplattform für virtualisierte VMware-Rechenzentren, was einen erfolgreichen Einbruch potenziell katastrophal macht: Die Kompromittierung von vCenter kann einem Angreifer auf einen Schlag die Kontrolle über die gesamte virtuelle Serverinfrastruktur einer Organisation verschaffen.

QUIRSO-Forscher bewerteten mit moderater Zuversicht, dass die Kampagne von einem chinesischsprachigen Akteur betrieben wird, der wahrscheinlich in der Zeitzone UTC+08:00 arbeitet. Ihre Zuordnung stützt sich auf chinesischsprachige Artefakte in vom Angreifer erstellten Skripten, offensichtliche Wiederverwendung von Forschung einer chinesischen Sicherheitspublikation und ein Opfermuster, das Festlandchina auffällig ausschließt.

Wo der Schaden landete

Die Infektionen verteilten sich breit, mit den stärksten Konzentrationen in Deutschland (55 Opfer), den USA (41), der Türkei (38), Iran (26) und Frankreich (25).

Eine zweite, verwandte Schwachstelle im Spiel

QUIRSO dokumentierte auch aktive Ausnutzung einer zweiten Schwachstelle, CVE-2026-59309, einer Authentifizierungsumgehung, die zusammen mit CVE-2026-59310 offengelegt wurde. Bei mindestens einem kompromittierten vCenter-Server-Gerät zeigten Beweise eine mit CVE-2026-59309 übereinstimmende Ausnutzung bereits ab dem 1. August 2026, einschließlich der Erstellung eines nicht autorisierten Administratorkontos.

Warum dies über die Zahlen hinaus wichtig ist

Die fünftägige Lücke zwischen Patch-Veröffentlichung und aktiver Ausnutzung ist das Detail, das man verinnerlichen sollte. Für jede Organisation, die VMware vCenter betreibt, ist die praktische Schlussfolgerung eindeutig: Das Patchen von CVE-2026-59310 und CVE-2026-59309 ist keine routinemäßige Wartungsaufgabe mehr, sondern eine dringende Priorität.