VMware ESX: Logging-Schwachstelle CVE-2026-41709 ausgenutzt, Administratoraktionen können unprotokolliert bleiben

Was passiert ist

Broadcom VMware ESX enthält eine Schwachstelle durch unzureichende Protokollierung, die als CVE-2026-41709 erfasst ist. Ein böswilliger Akteur, der bereits Administratorzugriff auf den Host hat, kann bestimmte Operationen durchführen, ohne dass diese protokolliert werden. Die Schwachstelle ist seit dem 30. Juli 2026 öffentlich bekannt, und Broadcom hat ein Sicherheits-Advisory veröffentlicht.

Dies ist keine neue Schwachstelle. Neu ist, dass CISA sie am 28. Oktober 2026 in den Katalog der bekanntermaßen ausgenutzten Schwachstellen aufgenommen hat, was aktive Angriffe bestätigt. Der CVSS-Basiswert liegt nur bei 2,7, da die Schwachstelle Administratorzugriff voraussetzt. In der Praxis hilft sie Angreifern, die bereits einen Host kompromittiert haben, ihre Aktivitäten darauf zu verbergen. Hosts, die seit der Veröffentlichung im Juli nicht gepatcht wurden, sind gefährdet.

Wer betroffen ist

Betroffen sind alle Betreiber von Broadcom VMware ESX Hosts, die den Fix aus dem Broadcom-Advisory nicht erhalten haben. Die Quelldaten nennen keine betroffenen oder korrigierten Versionen. Prüfen Sie das unten verlinkte Broadcom-Sicherheits-Advisory auf die genauen Builds.

Das Risiko ist am höchsten für Hosts, deren Management-Schnittstellen aus dem Internet oder aus weniger vertrauenswürdigen Netzen erreichbar sind, sowie für Umgebungen, in denen Administratorzugangsdaten geteilt werden oder bereits offengelegt sein könnten.

Was Sie jetzt tun sollten

1. Öffnen Sie das unten verlinkte Broadcom-Sicherheits-Advisory und notieren Sie die korrigierten Builds oder Gegenmaßnahmen für Ihre ESX-Versionen.
2. Sichern Sie die Host-Konfiguration vor dem Patchen, zum Beispiel mit vim-cmd hostsvc/firmware/backup_config auf ESXi.
3. Migrieren Sie die virtuellen Maschinen oder fahren Sie sie herunter, versetzen Sie den Host in den Wartungsmodus, spielen Sie den Patch ein und starten Sie den Host neu.
4. Bestätigen Sie nach dem Neustart, dass der Host den korrigierten Build meldet, verlassen Sie den Wartungsmodus und prüfen Sie, ob die virtuellen Maschinen normal starten und laufen.
5. Falls für Ihre Version noch kein Patch verfügbar ist, wenden Sie die von Broadcom beschriebenen Gegenmaßnahmen an. CISA rät, die Nutzung des Produkts einzustellen, wenn keine Gegenmaßnahmen verfügbar sind.
6. Überprüfen Sie alle Konten mit Administratorrechten auf dem Host und in vCenter. Entfernen Sie nicht benötigte Konten und ändern Sie die Passwörter für root und admin, insbesondere wenn ein Host aus dem Internet erreichbar war.
7. Beschränken Sie den Zugriff auf die Management-Schnittstellen (Web-Client, SSH, API) auf vertrauenswürdige Admin-Netze und deaktivieren Sie SSH sowie die ESXi-Shell, wo sie nicht benötigt werden.
8. Leiten Sie Host-Logs an einen entfernten Syslog-Server weiter, damit Protokolle auf einem System erhalten bleiben, das der Angreifer nicht kontrolliert.

So prüfen Sie, ob Sie betroffen sind

• Prüfen Sie den Build jedes Hosts mit esxcli system version get oder vmware -vl und vergleichen Sie ihn mit den korrigierten Builds im Broadcom-Advisory.
• Prüfen Sie mit esxcli system syslog config get, ob die Remote-Protokollierung konfiguriert ist.
• Sichten Sie /var/log/auth.log, /var/log/shell.log und /var/log/hostd.log sowie die vCenter-Ereignisse auf unerwartete Anmeldungen, neue Konten, aktiviertes SSH oder geänderte Konfigurationen. Beachten Sie, dass diese Schwachstelle es erlaubt, bestimmte Operationen ohne Protokolleinträge durchzuführen. Fehlende Einträge belegen daher nicht, dass ein Host sauber ist.
• Vergleichen Sie die aktuelle Host-Konfiguration, Benutzer, Firewall-Regeln und installierten VIBs (esxcli software vib list) mit einem bekannt guten Zustand.
• Falls Sie Anzeichen für eine Kompromittierung finden, isolieren Sie den Host, sichern Sie Logs und Daten, bevor Sie Änderungen vornehmen, und folgen Sie den CISA Forensics Triage Requirements, auf die im CISA-Katalogeintrag verwiesen wird.

Quellen

• https://nvd.nist.gov/vuln/detail/CVE-2026-41709
• https://www.cisa.gov/known-exploited-vulnerabilities-catalog