Auf den Punkt: Drei kritische VMware-Lücken (CVSS 9,3–9,8) ermöglichen Authentifizierungsumgehung, Remote-Code-Ausführung und VM-Ausbruch; Broadcom empfiehlt sofortes Patching, da keine Workarounds vorhanden sind.
Broadcom hat Sicherheitsupdates für VMware ESX, vCenter, Workstation und Fusion bereitgestellt und schließt dabei drei kritische Schwachstellen, die es Angreifern ermöglichen, vCenter zu übernehmen oder aus virtuellen Maschinen auszubrechen.
Broadcom hat fünf Schwachstellen in seiner Virtualisierungssoftware geschlossen, darunter drei mit kritischer Einstufung. Die schwerwiegendste, CVE-2026-59309 (CVSS 9,8), ist eine Authentifizierungsumgehung im VMware Directory Service von vCenter. Ein Angreifer mit Netzwerkzugriff kann damit die Authentifizierung umgehen und sich unautorisierten Zugriff auf das System verschaffen. Die zweite kritische Lücke, CVE-2026-59310 (CVSS 9,8), ist eine Directory-Traversal-Schwachstelle in vCenter, über die ein Angreifer mit Netzwerkzugriff beliebigen Code ausführen kann. Beide Lücken sind behoben in vCenter Server 8.0 U3k sowie in VMware Cloud Foundation und vSphere Foundation ab Version 9.1.0.0300 beziehungsweise 9.0.2.0100.
Die dritte kritische Schwachstelle, CVE-2026-47876 (CVSS 9,3), ist eine Out-of-Bounds-Write-Lücke im virtuellen Netzwerkadapter VMXNET3 von VMware ESX. Ein Angreifer mit lokalen Administratorrechten innerhalb einer virtuellen Maschine kann diese Lücke ausnutzen, um Code auf dem zugrunde liegenden ESX-Host auszuführen – Broadcom beschreibt dies als Ausbruch aus der virtuellen Maschine. Virtuelle Maschinen mit anderen Netzwerkadaptern sind nicht betroffen.
Zusätzlich schließt Broadcom zwei weitere Schwachstellen: CVE-2026-41703 (CVSS 7,6) ist eine Out-of-Bounds-Read-Lücke in ESX, Workstation und Fusion, die zur Offenlegung von Informationen oder zu einem Denial-of-Service führen kann. CVE-2026-41709 (CVSS 2,7) ist eine unzureichende Protokollierung in ESX, die es einem böswilligen Administrator ermöglicht, bestimmte Aktionen ohne Protokolleintrag durchzuführen.
Broadcom hat nach eigenen Angaben keine Hinweise auf bereits erfolgte Ausnutzung dieser Schwachstellen gefunden. Da jedoch keine Workarounds verfügbar sind, stuft das Unternehmen die veröffentlichten Updates als dringenden Sicherheitshinweis mit sofortigem Handlungsbedarf ein. CISOs sollten umgehend mit dem Rollout der Patches beginnen, insbesondere für vCenter-Instanzen und ESX-Hosts mit VMXNET3-Adaptern.
Quelle: www.it-daily.net · Erschienen 30. Juli 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.3.