Ransomware-Angriffe auf vCenter: CISA warnt 47 Länder
Die Agentur bestätigte, dass Ransomware-Gangs sich der bereits aktiven Spionagekampagne angeschlossen haben, die die CVE-2026-59310 mit CVSS 9,8 im Syslog von vCenter ausnutzt.
Die CISA aktualisierte am 15. September ihre Mitteilung zur CVE-2026-59310, einer Directory-Traversal-Schwachstelle im Syslog-Dienst des VMware vCenter Servers mit CVSS 9,8. Die Agentur bestätigte, dass Ransomware-Gangs die Schwachstelle gleichzeitig mit der bereits seit Juli aktiven Spionagekampagne ausnutzten, als Broadcom am 29. Juli den Patch veröffentlichte. Die anfängliche Reichweite, die von Incident-Responders erfasst wurde, beträgt 361 kompromittierte IP-Adressen in 47 Ländern.
Die betroffene Komponente ermöglicht es einem nicht authentifizierten Angreifer mit Netzwerkzugang, beliebigen Code auf dem Server ohne besondere Berechtigungen auszuführen. Die CVE wurde am 18. August zum Katalog der bekannten ausgenutzten Schwachstellen hinzugefügt, und die Binding Operational Directive 26-04 verlangte von Bundesbehörden eine Behebung bis zum 21. August. Was sich jetzt ändert, ist der Vektor: wo zuvor eine stille Erfassung von SSO-Anmeldeinformationen und die Bereitstellung einer persistierenden Backdoor stattfand, ergibt sich nun eine Kette, die auf die massenweise Verschlüsselung von ESXi-Hypervisoren abzielt.
Von Spionage zu Erpressung
Laut den von der CISA zitierten Incident-Response-Berichten nutzen die Angreifer das Syslog, um permanenten Code im vCenter abzulegen, SSO-Anmeldeinformationen zu erfassen und dann abgeleitete Varianten von Babuk gegen die ESXi-Schicht auszuführen. Die technische Wahl ist klar: wer das vCenter kontrolliert, hat Zugriff auf die gesamte Flotte der darunter ausgeführten virtuellen Maschinen. Ein einzelner kompromittierter Administrator wird zu einem Fenster für Dutzende von Servern, die innerhalb von Minuten verschlüsselt werden.
Das betroffene Produkt umfasst vSphere Foundation in allen Versionen, Cloud Foundation, Telco Cloud Infrastructure 3.0, Telco Cloud Platform und vCenter Server 8.0 bis einschließlich update3j. Es handelt sich um das installierte Inventar in Unternehmensrechenzentren, Telekommunikationsanbietern und Gesundheitsumgebungen weltweit, was erklärt, warum Ermittler in 47 Ländern Opfer fanden.
Lesestoff für CIOs in drei Märkten
In den Vereinigten Staaten, wo vCenter das Rückgrat regionaler Banken und Gesundheitssysteme darstellt, ist das Problem zunächst operationell, bevor es regulativ wird: HIPAA und SEC verlangen eine Benachrichtigung innerhalb kurzer Fristen, sobald Daten, die geschützt sind, verschlüsselt werden. Bei Telekommunikationsanbietern in Indien und Europa, die noch Telco Cloud Infrastructure in Produktion haben, steht der Patch vor der Herausforderung geplanter Wartungsfenster, die Monate im Voraus für kritische Netzwerk-Infrastruktur festgelegt sind. In Brasilien, wo Banken und der Serpro große Flotten von ESXi hinter vCenter betreiben, fällt der Vektor mit dem Zeitplan der Circular BCB Nr. 4.041 zusammen, die die Kontrolle und Meldung von wesentlichen Cybervorfällen innerhalb von zwei Stunden fordert – eine sehr kurze Zeitspanne, um das Ausmaß einer massenhaften Verschlüsselung zu ermitteln.
Broadcom empfiehlt weiterhin, den Patch vom 29. Juli anzuwenden und Syslog in Instanzen vorübergehend zu deaktivieren, die keinen sofortigen Ausfall tolerieren können. EDR-Anbieter berichteten, dass die Verhaltenssignatur vor der Verschlüsselung, das Scannen über Syslog gefolgt von der Erfassung von SSO-Anmeldeinformationen, noch vor dem Erscheinen der Ransomware im ESXi erkennbar ist. Allerdings betreibt nicht jedes SOC-Team spezielle Regeln für vCenter.
Der wirtschaftliche Umbruch durch Ransomware im Virtualisierungsbereich
Der Fall vCenter bestätigt ein Muster, das sich seit zwei Jahren festigt. Gangs haben teilweise das Ziel, Unternehmensarbeitsplätze zu attackieren, zugunsten der Hypervisor-Ebene verlassen, wo ein erfolgreicher Angriff die Produktion ohne umfangreiche laterale Bewegungen lahmlegt. Gruppen wie RansomHub, das reformierte LockBit und selbst Babuk-Clone arbeiten nun mit spezialisierten Handlungsanweisungen für ESXi, und der Zeitraum zwischen Offenlegung und massenhafter Ausnutzung verkürzt sich weiterhin. Zwischen der Veröffentlichung des Patches durch Broadcom am 29. Juli und den 361 kompromittierten IPs vergingen weniger als sieben Wochen.
Die Grenze zwischen staatlichen Operationen und finanziell motivierter organisierten Kriminalität verwischt ebenfalls weiter. Die ursprüngliche Kampagne gegen die CVE-2026-59310 wurde von Forschern von Gurucul einem Akteur mit chinesischem Nexus, der auf Spionage ausgerichtet war, zugeschrieben. Der Eintritt finanzieller Gangs in dasselbe Vektor deutet darauf hin, dass das technische Wissen zur Ausnutzung schnell vom APT-Umfeld in Foren von Broker-Vorabzugängen übergeht. Für den Unternehmens-CISO bedeutet das praktisch nur eines: Der Zeitraum zwischen Patch und Ransomware muss in Tagen, nicht in Monaten gemessen werden.
Es gibt einen haushaltspolitischen Unterton. Broadcom, das 2023 VMware für 61 Milliarden US-Dollar übernommen hat und das Lizenzmodell um die vSphere Foundation reformiert hat, drängt einen Teil der installierten Basis auf neuere Versionen, in denen der Patch bereits integriert ist. Kunden, die Rabatte für verlängerte Wartung ausgehandelt haben, um auf vCenter 7.0 zu bleiben, sind exponiert, und die Entscheidung, das Upgrade zu beschleunigen, kollidiert mit Genehmigungszyklen für Investitionen, die sich in der Regel über Quartale erstrecken. Das Zeitfenster zwischen der Kenntnis des Risikos und der Genehmigung für Ausgaben bleibt das schwächste Glied im Zyklus der Unternehmensreaktion.