Broadcom hat neue VMware-Sicherheitsupdates veröffentlicht, um insgesamt fünf Schwachstellen in mehreren VMware-Produktfamilien zu schließen. Besonders kritisch sind dabei drei Lücken: Sie ermöglichen das Umgehen der Authentifizierung, das Ausführen beliebigen Codes sowie das Entkommen aus einer virtuellen Maschine auf den Host. Da es keine bestätigten Workarounds gibt, sollten Administratoren die Updates priorisiert einplanen.
Die Meldung betrifft vCenter und ESX/ESXi sowie auch Workstation und Fusion. Zusätzlich sind Produktvarianten betroffen, die vCenter oder ESX enthalten, etwa VMware Cloud Foundation sowie verschiedene telco-orientierte VMware-Angebote.
Warum diese VMware-Sicherheitsupdates so dringend sind
Broadcom stuft die behobenen Probleme als „Emergency Fixes“ ein. Das bedeutet für IT-Teams: Sie sollten die Patches möglichst schnell ausrollen. Grund dafür sind nicht nur die Schwere der betroffenen Lücken, sondern auch die Art der Angriffsfolgen. Wer sich Zugriff verschafft, kann unter Umständen weitreichende Bereiche einer Infrastruktur erreichen.
In der Benachrichtigung weist Broadcom darauf hin, dass Organisationen, die Versionen einsetzen, die vor den als „fix“ markierten Releases liegen, von einer Verwundbarkeit ausgehen müssen. Gleichzeitig nennt Broadcom keine allgemein empfohlenen Umgehungsmaßnahmen.
Überblick: Die fünf CVEs und ihre Auswirkungen
Im Kern konzentrieren sich die Updates auf drei besonders schwerwiegende Schwachstellen sowie zwei weitere Lücken, die je nach Produkt eine geringere Priorität erhalten. Im Folgenden finden Sie eine strukturierte Zusammenfassung der wichtigsten Punkte.
CVE-2026-59309: Authentifizierungsumgehung in VMware Directory Service
Diese kritische Schwachstelle betrifft den VMware Directory Service. Ein nicht authentifizierter Angreifer mit Netzwerkzugriff auf vCenter kann die Sicherheitsprüfung umgehen und unautorisierte Zugriffe auf das System erlangen. Der Schweregrad wird mit einem CVSS-Wert von 9,8 bewertet.
CVE-2026-59310: Directory Traversal im vCenter Syslog Server
Auch diese Lücke wirkt gegen vCenter und lässt sich durch nicht authentifizierte Angreifer mit Netzwerkzugriff ausnutzen. Die Schwachstelle liegt im vCenter Syslog Server und ermöglicht das Ausführen beliebigen Codes. Die Bewertung liegt ebenfalls bei 9,8.
CVE-2026-47876: VMXNET3 Out-of-Bounds Write und VM-Escape
Hier geht es um den VMXNET3-Netzwerkadapter innerhalb virtueller Maschinen. Ein Angreifer mit lokalen Administratorrechten innerhalb einer VM kann diese Out-of-Bounds-Write-Schwachstelle nutzen, um Code auf dem ESX/ESXi-Host auszuführen. Das kann in einem VM-Escape enden, also der Trennung/Umgehung der Sicherheitsgrenzen der VM. CVSS liegt bei 9,3.
Wichtig: VMware betont, dass virtuelle Maschinen mit anderen virtuellen Netzwerkkarten nicht betroffen sind. Broadcom rät jedoch ausdrücklich davon ab, nur die Netzwerkkarte umzuschalten, da auch andere Adapter sicherheitsrelevante Schwächen enthalten haben können und ein reines „Switchen“ Risiken sowie Performance-Auswirkungen nicht zuverlässig adressiert.
CVE-2026-41703: Out-of-Bounds Read in ESX, Workstation und Fusion
Diese Schwachstelle betrifft Out-of-Bounds Read in ESX, Workstation und Fusion. Wer über Berechtigungen zur Bereitstellung virtueller Maschinen verfügt, kann Informationen offenlegen oder eine Denial-of-Service-Situation auslösen. Auf Workstation und Fusion beschränkt sich die Auswirkung vor allem auf Information Disclosure. Die Bewertung ist auf ESX als „Important“ (CVSS 7,6) eingestuft, auf Workstation/Fusion jedoch deutlich niedriger.
CVE-2026-41709: Unzureichende Protokollierung in ESX
Die fünfte Lücke betrifft die Protokollierung in ESX. Dadurch kann ein böswilliger ESX-Administrator bestimmte Aktionen durchführen, ohne dass diese in der erwarteten Weise geloggt werden. Die Einstufung ist „Low“ (CVSS 2,7).
Welche Versionen sind betroffen und wie lauten die Fix-Releases?
Broadcom nennt konkrete Zielversionen, um die jeweiligen Probleme zu beheben.
vCenter-Fixes
- vCenter: 9.1.0.0300, 9.0.2.0100, 8.0 Update 3k
ESX/ESXi-Fixes
- ESXi: 9.1.0.0200, 9.0.2.0100, 8.0 Update 3k
Workstation und Fusion
Für VMware Workstation und Fusion gilt eine klare Folge: Nutzer mit Version 25H2 müssen auf 26H1 aktualisieren, um CVE-2026-41703 abzudecken.
Keine Workarounds: Was Admins jetzt konkret tun sollten
Broadcom sagt ausdrücklich, dass es keine Workarounds gibt. Dazu kommt: Angreifer nutzen typischerweise genau die VMware-Umgebungen, die in Unternehmen zentral verwaltet werden. Ein Kompromittieren von vCenter oder ESXi kann daher den Zugang zu großen Teilen einer Server- und Datenlandschaft erleichtern.
Auch wenn Broadcom keine Hinweise nennt, dass die neuen Schwachstellen bereits aktiv ausgenutzt werden, sollten Teams die Updates zeitnah durchführen. Das reduziert das Zeitfenster für opportunistische Angriffe und „Nachzügler“-Ausnutzung.
So wirken sich die Patches auf den Betrieb aus
Bei der Umsetzung müssen sich Verantwortliche auf Betriebsunterbrechungen einstellen. Laut Broadcom kann das Patchen von vCenter den Zugriff auf den vSphere Client und andere Management-Schnittstellen vorübergehend unterbrechen. Allerdings sollen laufende virtuelle Maschinen und Container weiterarbeiten.
Für ESX/ESXi-Updates ist dagegen ein Neustart des Servers erforderlich. VMware empfiehlt daher, den Betrieb möglichst störungsarm zu halten, indem virtuelle Maschinen mit vMotion auf andere Hosts verschoben werden, während Cluster über ein rolling reboot aktualisiert werden.
Lassen sich VMs nicht migrieren, müssen sie laut Broadcom während des Neustarts heruntergefahren werden.
ESX Live Patch und Grenzen bei vCenter
Unterstützte Umgebungen können zusätzlich ESX Live Patch nutzen, um die Unterbrechungen zu reduzieren. Wichtig ist jedoch: Die vCenter-Updates sind nach Broadcom-Angaben nicht für Quick Patch geeignet. Planen Sie die Rollout-Zeiten deshalb sorgfältig, besonders wenn Abhängigkeiten im Management-Betrieb bestehen.
Besondere Stolpersteine: VMware Cloud Foundation und Upgrade-Kompatibilität
Wenn VMware Cloud Foundation im Spiel ist, sollten IT-Teams vorab die Patch- und Upgradepfade prüfen. Broadcom warnt vor einer möglichen Kompatibilitätsabweichung: Es kann zu einer Art „back in time“-Beschränkung kommen.
Die Ursache: Bestimmte Patches aktualisieren Produktzweige, die eine höhere Build-Nummer tragen als das Ziel einer geplanten Upgrade-Sequenz. Broadcom beschreibt, dass die vSphere 8.0- und 9.0-Updates aus diesem Advisory Upgrades in VMware Cloud Foundation 9.x ausbremsen können und dabei eine „back in time“-Fehlermeldung auftreten kann.
Positiv: Broadcom sagt, dass die Upgrade-Kompatibilität in späteren Releases wiederhergestellt werden soll.
Angriffsszenarien: Was Verteidiger daraus ableiten
Broadcom sieht keine Hinweise auf aktive Ausnutzung der spezifischen, neuen Lücken. Dennoch ist der Grund für die schnelle Reaktion offensichtlich: VMware-Systeme sind seit Jahren ein attraktives Ziel. Laut Kontext in der Mitteilung zielen Ransomware-Gruppen häufig auf VMware-VMs ab, weil solche Infrastrukturen in Unternehmen sehr verbreitet sind.
Zusätzlich wurden in früheren Warnungen bestimmte Muster beschrieben, etwa das Ausnutzen von kompromittierten VMware vSphere-Servern, um Malware zu platzieren, versteckte virtuelle Maschinen einzurichten oder Snapshot-Daten missbräuchlich zu nutzen. Auch Beobachtungen zu „ghost“ virtuellen Maschinen gehören in das Bild von persistenter Manipulation außerhalb normaler Konsolen.
Für Security-Teams heißt das: Patches sind nur der erste Schritt. Ergänzen Sie die technischen Maßnahmen durch eine klare Betriebsroutine für Incident Response, Logging-Checks und Validierung, dass Management- und Hypervisor-Komponenten nach dem Rollout wieder wie erwartet funktionieren.
Fazit: VMware-Sicherheitsupdates zeitnah priorisieren
Die aktuellen VMware-Sicherheitsupdates von Broadcom schließen mehrere Schwachstellen – darunter drei als kritisch bewertete Lücken, die Authentifizierung umgehen, willkürlichen Code ausführen oder sogar aus virtuellen Umgebungen ausbrechen lassen können. Da es keine Workarounds gibt und Broadcom die Änderungen als Notfallmaßnahmen einstuft, sollten Administratoren die genannten Fix-Versionen schnell einplanen.
Berücksichtigen Sie dabei die erwarteten Betriebsunterbrechungen, nutzen Sie für ESXi nach Möglichkeit vMotion und prüfen Sie bei VMware Cloud Foundation die Upgrade-Kompatibilität. So reduzieren Sie das Risiko, bevor Angreifer die Zeit bis zum Patchen ausnutzen.
