CVE-2026-59310
Broadcom VMware vCenter Path Traversal Vulnerability
Beschreibung
CVE-2026-59310 ist eine kritische Directory-Traversal- bzw. Path-Traversal-Schwachstelle in der Syslog-Server-Komponente von VMware vCenter, die einem entfernten, nicht authentifizierten Angreifer die Ausführung beliebigen Codes ermöglicht. Die in Broadcoms VMware vCenter entdeckte Lücke erlaubt es einem Angreifer mit Netzwerkzugriff auf vCenter, Dateipfade zu manipulieren, aus dem vorgesehenen Verzeichnis auszubrechen und letztlich Code auf der Appliance auszuführen. Da vCenter die zentrale Verwaltungsebene für VMware-Virtualisierungsumgebungen ist, kann eine erfolgreiche Ausnutzung dieser Path-Traversal-Schwachstelle zur Kompromittierung der gesamten virtuellen Infrastruktur führen. Mit einem CVSS-Wert von 9.8 und bestätigter aktiver Ausnutzung wurde CVE-2026-59310 in den Known-Exploited-Vulnerabilities-Katalog (KEV) der CISA aufgenommen und erfordert eine sofortige Behebung.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| vmware | vcenter server | < 8.0; 8.0; >= 9.0, < 9.0.2.0100; >= 9.1, < 9.1.0.0300 |
Referenzen
- https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/38017(Vendor Advisory)
- https://medium.com/@quirso_de/active-exploitation-of-cve-2026-59310-361-victim-ips-across-47-countries-9783187cc6ff(Third Party Advisory)
- https://medium.com/@quirso_de/global-exploitation-of-cve-2026-59310-by-suspected-chinese-nexus-apt-related-cve-2026-59309-443a79e1466d(Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-59310(US Government Resource)
Schwachstellentyp
CWE-22: Unsachgemäße Beschränkung eines Pfadnamens auf ein eingeschränktes Verzeichnis ('Path Traversal')
Path Traversal tritt auf, wenn Software externe Eingaben zur Konstruktion eines Dateipfads verwendet, aber Spezialelemente wie „../" nicht neutralisiert, die den Pfad außerhalb des vorgesehenen Verzeichnisses auflösen lassen. Bei CVE-2026-59310 verarbeitet der vCenter-Syslog-Server angreifergesteuerte Pfaddaten unsachgemäß, wodurch Dateien außerhalb ihres eingeschränkten Speicherorts geschrieben oder abgerufen werden können, was zur Ausführung beliebigen Codes auf der Appliance eskaliert.
Mehr erfahren: CWE-22 — Unsachgemäße Beschränkung eines Pfadnamens auf ein eingeschränktes Verzeichnis ('Path Traversal')
Auswirkungsanalyse
Die Auswirkungen von CVE-2026-59310 sind gravierend, da die Schwachstelle aus der Ferne über das Netzwerk bei niedriger Angriffskomplexität ausnutzbar ist, das heißt ohne besondere Voraussetzungen leicht auszunutzen. Sie erfordert keine Authentifizierung und keine Benutzerinteraktion, sodass jeder Angreifer, der den vCenter-Syslog-Dienst erreicht, einen Ausnutzungsversuch unternehmen kann. Ein erfolgreicher Angriff führt zu hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit und verschafft dem Angreifer Codeausführung auf der vCenter-Appliance sowie damit die Möglichkeit, sensible Verwaltungsdaten zu lesen, Konfigurationen zu manipulieren und die virtuelle Umgebung zu stören. Eingestuft als CVSS 9.8 (kritisch) mit einem EPSS-Wert von rund 2,4 % (82. Perzentil), wird die Schwachstelle laut CISA bereits aktiv ausgenutzt, was das praktische Risiko deutlich über das hinaushebt, was der EPSS-Wert allein nahelegt.
Exploit-Reifegrad
Die CISA hat die aktive Ausnutzung von CVE-2026-59310 durch die Aufnahme in den Known-Exploited-Vulnerabilities-Katalog bestätigt, sodass dies als reale Bedrohung zu behandeln ist. Für diese Schwachstelle referenzierte Drittanalysen berichten von großflächiger Ausnutzung — Hunderten von Opfer-IPs in Dutzenden von Ländern — und schreiben die Aktivität einer mutmaßlichen China-nahen APT zu, wobei ein Zusammenhang mit CVE-2026-59309 genannt wird, was nahelegt, dass beide in realen Angriffen gemeinsam eingesetzt werden könnten. Zwar erscheint der EPSS-Wert von etwa 2,4 % (82. Perzentil) moderat, doch die bestätigte und großflächige Ausnutzung erhöht die reale Angriffswahrscheinlichkeit erheblich. Das KEV-Ransomware-Kennzeichen lautet „Unknown", doch angesichts des nachgewiesenen Angriffs auf vCenter sollten Verteidiger davon ausgehen, dass funktionierende Exploit-Techniken kursieren, und Patchen sowie Threat Hunting priorisieren.
Behebung
- Installieren Sie umgehend das korrigierte vCenter-Release von Broadcom. Gemäß der KEV-Handlungsanweisung der CISA sind Maßnahmen entsprechend den Herstelleranweisungen und der BOD-26-04-Vorgabe umzusetzen; sind keine Korrekturen verfügbar, ist die Nutzung des Produkts einzustellen.
- Aktualisieren Sie auf eine gepatchte vCenter-Server-Version. Bringen Sie vCenter Server 9.0 auf mindestens 9.0.2.0100 und vCenter Server 9.1 auf mindestens 9.1.0.0300; für 8.0 und ältere Zweige installieren Sie den entsprechenden von Broadcom veröffentlichten korrigierten Build.
- Beschränken Sie den Netzwerkzugriff auf vCenter. Begrenzen Sie den Zugriff auf die vCenter-Verwaltungsschnittstellen und den Syslog-Dienst ausschließlich auf vertrauenswürdige Administrationsnetze mittels Firewall-Regeln und Netzwerksegmentierung, um die Exposition bis zum Abschluss des Patchens zu verringern.
- Suchen Sie nach Kompromittierungsindikatoren. Da über zahlreiche Opfer und Länder hinweg aktive Ausnutzung berichtet wurde, prüfen Sie vCenter- und Syslog-Protokolle auf anomale Dateischreibvorgänge oder Path-Traversal-Muster und untersuchen Sie die Appliance auf Anzeichen von Codeausführung oder Persistenz.
- Härten Sie langfristig ab, indem Sie alle Dateipfade gegen eine Allowlist validieren und kanonisieren und vCenter von nicht vertrauenswürdigen Netzen isoliert halten.
Technische Details
CVE-2026-59310 ist eine Path-Traversal-Schwachstelle (CWE-22) im vCenter-Syslog-Server: Die Komponente konstruiert einen Pfadnamen aus externen Eingaben, ohne Sequenzen wie „../" ordnungsgemäß zu neutralisieren, sodass der resultierende Pfad an einen Ort außerhalb des eingeschränkten Verzeichnisses aufgelöst werden kann. Ein Angreifer nutzt dies, um Dateien an einem unbeabsichtigten Ort zu platzieren oder zu manipulieren, was anschließend zur Ausführung beliebigen Codes auf der Appliance verkettet wird. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H bestätigt, dass der Angriff über das Netzwerk erreichbar, von niedriger Komplexität ist und weder Privilegien noch Benutzerinteraktion erfordert, weshalb eine einzige präparierte Anfrage an den Syslog-Dienst ausreicht, damit ein entfernter, nicht authentifizierter Angreifer aus der vorgesehenen Verzeichnisstruktur ausbricht und die vollständige Kompromittierung erreicht.
Häufig gestellte Fragen
Wird CVE-2026-59310 aktiv ausgenutzt?
Ja. Die CISA hat CVE-2026-59310 in ihren Known-Exploited-Vulnerabilities-Katalog aufgenommen und damit die aktive Ausnutzung bestätigt. Drittberichte beschreiben eine großflächige Ausnutzung über Hunderte von Opfer-IPs in Dutzenden von Ländern, die einer mutmaßlichen China-nahen APT zugeschrieben wird.
Welche Produkte sind von CVE-2026-59310 betroffen?
Die Schwachstelle betrifft Broadcoms VMware vCenter Server, darunter Zweige vor 8.0 und Version 8.0, vCenter Server 9.0 vor 9.0.2.0100 sowie vCenter Server 9.1 vor 9.1.0.0300. Umgebungen mit diesen Versionen und einem erreichbaren Syslog-Dienst sind gefährdet.
Wie behebe ich CVE-2026-59310?
Aktualisieren Sie vCenter Server auf den korrigierten Build Ihres Zweigs — mindestens 9.0.2.0100 für die 9.0-Linie und 9.1.0.0300 für die 9.1-Linie — und installieren Sie Broadcoms entsprechende Korrektur für ältere Releases. Beschränken Sie den Netzwerkzugriff auf vCenter und suchen Sie nach Kompromittierungsindikatoren, gemäß der KEV-/BOD-26-04-Vorgabe der CISA.
Wie schwerwiegend ist CVE-2026-59310?
Sie ist kritisch, mit einem CVSS-3.1-Basiswert von 9.8. Die Lücke ist nicht authentifiziert, über das Netzwerk ausnutzbar, erfordert keine Benutzerinteraktion und führt zur Ausführung beliebigen Codes mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit; zusammen mit der bestätigten aktiven Ausnutzung ist sie trotz eines EPSS-Werts im 82. Perzentil ein Fix mit höchster Priorität.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.