Broadcom hat Sicherheitsupdates für mehrere VMware-Produkte veröffentlicht, darunter VMware ESX, vCenter, Workstation und Fusion. Drei der gemeldeten Schwachstellen wurden als kritisch eingestuft. Dabei geht es nicht nur um klassische Sicherheitslücken, sondern auch um Angriffe, die Authentifizierung umgehen, beliebigen Code ermöglichen oder sogar den Ausbruch aus einer virtuellen Maschine begünstigen können.
Für Betreiber gilt: Broadcom hat die Updates als Emergency Change (Notfalländerung) mit sofortigem Handlungsbedarf eingeordnet. Außerdem gibt es nach Unternehmensangaben bislang keine Hinweise, dass die Probleme bereits aktiv ausgenutzt werden. Trotzdem sollten Sie das Update zeitnah einplanen, da es keine verlässlichen Workarounds gibt.
Was Broadcom an VMware Sicherheitsupdate kritische Lücken meldet
Die aktuellen Fixes adressieren mehrere Schwachstellen, die in unterschiedlichen VMware-Komponenten wirken. Besonders auffällig: zwei der kritischen Probleme betreffen vCenter und können laut Broadcom von Angreifern mit Netzwerkzugriff ausgenutzt werden. Eine weitere kritische Lücke wird durch eine Schwachstelle in der Verarbeitung von Eingaben/Logik in Zusammenhang mit VM-Netzwerkfunktionen möglich.
Neben den drei kritischen Lücken schließt Broadcom weitere Fehler mit höherer oder mittlerer Auswirkung. Dazu zählen unter anderem ein Fehler im Zusammenhang mit einem virtuellen Netzadapter, potenzielles Risiko für Informationsabfluss oder Denial-of-Service sowie eine Schwachstelle, die unzureichendes Logging begünstigen kann.
Kritische vCenter-Lücke: Authentifizierungsumgehung (CVE-2026-59309)
Die erste der drei als kritisch bewerteten Schwachstellen trägt die Bezeichnung CVE-2026-59309 und hat einen CVSS-Score von 9,8. Broadcom beschreibt sie als Authentifizierungsumgehung in VMware vCenter.
Wenn ein Angreifer Netzwerkzugriff auf vCenter hat, könnte er demnach die Authentifizierung umgehen und unbefugten Zugriff auf das System erlangen. Genau diese Kombination aus hoher Kritikalität und erforderlichem Zugang über das Netzwerk macht die Lücke besonders relevant für Umgebungen, in denen vCenter erreichbar ist oder Schnittstellen offen stehen.
Kritische vCenter-Lücke: Directory Traversal mit Code-Ausführung (CVE-2026-59310)
Die zweite kritische Schwachstelle ist CVE-2026-59310 (ebenfalls CVSS 9,8). Broadcom nennt eine Directory-Traversal-Schwachstelle in vCenter, die Angreifer mit Netzwerkzugriff nutzen können, um beliebigen Code auszuführen.
Directory Traversal ist häufig ein Muster, bei dem Eingaben unerwartet verarbeitet werden und dadurch Zugriff auf Bereiche außerhalb des vorgesehenen Zielpfads möglich wird. In der Kombination mit Code-Ausführung steigt das Risiko deutlich: Ein Angreifer könnte nicht nur Daten erreichen, sondern auch Aktionen im Kontext des betroffenen Systems durchführen.
Fix-Übersicht: Welche Versionen Broadcom als behoben nennt
Damit Sie die Priorität richtig einordnen können, nennt Broadcom konkrete Versionen bzw. Fixstände, in denen die beiden vCenter-Lücken adressiert wurden. Wichtig: Die genauen Nummern unterscheiden sich je nach Deployment-Variante (z. B. Cloud Foundation) und Produktgeneration.
- VMware Cloud Foundation und VMware vSphere Foundation – Fix für vSphere Foundation 9.1.x.x: behoben in 9.1.0.0300
- VMware Cloud Foundation und VMware vSphere Foundation – Fix für vSphere Foundation 9.0.x.x: behoben in 9.0.2.0100
- VMware vCenter 8.0: behoben in 8.0 U3k
- VMware Cloud Foundation 5.x: Fix im Rahmen eines Async Patches für 8.0 U3k
Wenn Sie eines dieser Installationsszenarien betreiben, sollten Sie die jeweiligen Versionsstände gegen diese Angaben abgleichen und die Patchplanung an die Fixtermine koppeln.
Weitere VMware Sicherheitslücken: VMXNET3, ESX Speicherfehler und Logging
Broadcom patched außerdem drei weitere Schwachstellen, die zwar nicht alle denselben kritischen Status haben, aber dennoch sicherheitsrelevant sind. Diese Punkte betreffen vor allem VMware ESX sowie VMware Workstation und VMware Fusion.
VMXNET3: Risiko für Codeausführung und Virtual Machine Escape (CVE-2026-47876)
Die Schwachstelle CVE-2026-47876 (CVSS 9,3) beschreibt Broadcom als Out-of-bounds write im VMXNET3-virtuellen Netzwerkadapter. Ein Angreifer mit lokalen Administratorrechten innerhalb einer virtuellen Maschine könnte demnach Code auf dem ESX-Host ausführen.
Broadcom ordnet diese Lücke als Virtual Machine Escape ein. Das bedeutet: Selbst wenn ein Angreifer zunächst „nur“ in einer VM-Ablaufumgebung Kontrolle erlangt, kann er potenziell aus dem Schutzbereich der VM ausbrechen und den Host kompromittieren.
Behebung (laut Broadcom):
- VMware Cloud Foundation und VMware vSphere Foundation: behoben in ESXi-9.1.0.0200-25557999 sowie ESXi-9.0.2.0100-25595025
- VMware ESX ESXi80U3k-25595708
Out-of-bounds read: Informationsabfluss oder DoS (CVE-2026-41703)
CVE-2026-41703 (CVSS 7,6) ist eine Out-of-bounds read-Schwachstelle in VMware ESX. Ein Angreifer mit VM-Deployment-Berechtigungen könnte dies auslösen. Dadurch kann es zu Informationslecks oder zu einer Denial-of-Service-Situation kommen.
Für VMware Workstation und Fusion begrenzt Broadcom den Impact auf Informationsoffenlegung (ohne die weitergehenden Effekte auf den Betriebssystemkontext des Hosts).
Behebung (laut Broadcom):
- VMware Cloud Foundation und VMware vSphere Foundation: behoben in ESXi-9.1.0.0-25370933 sowie ESXi-9.0.2.0100-25595025
- VMware ESX ESXi80U3i-25205845
- VMware Workstation 26H1, VMware Fusion 26H1
- VMware Cloud Foundation 5.2.3
Unzureichendes Logging: Aktionen ohne nachvollziehbare Spuren (CVE-2026-41709)
Die Schwachstelle CVE-2026-41709 hat einen CVSS-Score von 2,7. Broadcom bewertet sie dennoch als relevant, weil sie unzureichendes Logging in VMware ESX ermöglichen kann. Laut Beschreibung könnte ein Angreifer bzw. ein lokaler Administrator bestimmte Aktionen ausführen, ohne dass diese hinreichend protokolliert werden.
Auch wenn der CVSS niedriger ausfällt, kann fehlendes Logging die Erkennung von Missbrauch massiv erschweren. Das ist in Sicherheitsprozessen oft genauso problematisch wie eine reine technische Kompromittierung.
Behebung (laut Broadcom):
- VMware Cloud Foundation und VMware vSphere Foundation: behoben in ESXi-9.1.0.0-25370933 sowie ESXi-9.0.2.0100-25595025
- VMware ESX ESXi80U3j-25429389
Keine Hinweise auf aktive Ausnutzung – trotzdem keine Verzögerung
Broadcom teilt mit, dass es keine Belege dafür gibt, dass eine der genannten Schwachstellen bereits in freier Wildbahn ausgenutzt wird. Dennoch gilt: Es gibt keine verfügbaren Workarounds. In der Praxis heißt das, dass Sie sich nicht darauf verlassen sollten, Sicherheitsrisiken durch Umgehungsmaßnahmen zu minimieren.
Da Broadcom die Updates als Emergency Change einstuft, sollten Sie die nächsten Schritte zeitnah anstoßen: Versionen prüfen, Patchreihenfolge definieren und den Rollout gemäß Ihren Betriebsanforderungen planen.
Empfehlungen für Betreiber: So gehen Sie jetzt vor
Auch ohne technische Detailtiefe lassen sich aus der Meldung klare Handlungsfelder ableiten. Beginnen Sie mit einem schnellen Abgleich Ihrer Umgebungen gegen die veröffentlichten Fix-Stände.
- Inventarisieren: Prüfen Sie, welche VMware-Komponenten Sie betreiben (vCenter, ESX, Workstation, Fusion sowie relevante Cloud Foundation Varianten).
- Priorisieren: Setzen Sie Umgebungen mit vCenter-Funktionalität und Netzwerkzugriff oben auf die Liste, da hier Authentifizierungsumgehung und Code-Ausführung möglich sind.
- Rollout planen: Legen Sie ein Wartungsfenster fest und berücksichtigen Sie Abhängigkeiten zwischen Komponenten.
- Monitoring nach dem Update: Überprüfen Sie danach Protokollierung, Zugriffsmuster und Systemzustand – insbesondere weil eine Lücke speziell mit Logging zusammenhängt.
Fazit: VMware Sicherheitsupdate kritische Lücken ist jetzt ein Muss
Die aktuellen Broadcom-Updates schließen mehrere sicherheitsrelevante Lücken in VMware ESX, vCenter, Workstation und Fusion. Besonders kritisch sind die Probleme rund um vCenter: Authentifizierung kann umgangen werden, und eine Directory-Traversal-Lücke kann sogar beliebige Codeausführung ermöglichen. Dazu kommt eine VMXNET3-Schwachstelle, die Broadcom als Virtual Machine Escape einstuft.
Auch wenn derzeit keine aktive Ausnutzung bekannt ist: Da keine Workarounds verfügbar sind und Broadcom sofortiges Vorgehen fordert, sollten Sie das VMware Sicherheitsupdate kritische Lücken zeitnah einplanen und umsetzen.
Quelle: https://thehackernews.com/2026/07/three-critical-vmware-flaws-allow-auth.html
