VMware ESX: Unzureichende Protokollierung erlaubt nicht protokollierte Administrationsaktionen

Zusammenfassung

VMware ESX (ESXi-Hypervisor) enthält eine unzureichende Protokollierung (CWE-778), die es einem böswilligen Administrator erlaubt, bestimmte Operationen ohne Protokollierung durchzuführen. Der Angreifer benötigt bereits Administratorrechte auf dem Host, daher ist die Schwachstelle kein eigenständiger Einstiegspunkt, schwächt aber die Erkennung nach einer anderen Kompromittierung. Die CISA hat die Schwachstelle in ihren Katalog bekannt ausgenutzter Schwachstellen aufgenommen, und sie ist Teil von VMSA-2026-0006, der auch kritische vCenter-Schwachstellen enthält.

Betroffen

• VMware ESX 8.0 vor ESXi80U3j-25429389
• VMware ESX 9.0.x vor ESXi-9.0.2.0100-25595025
• VMware ESX 9.1.x vor ESXi-9.1.0.0-25370933
• VMware Cloud Foundation 5.x vor 5.2.4 (gemäss CVE-Eintrag)
• ESX 7.x: Unbekannt. Gegen die Broadcom-Advisory prüfen.

Behoben in

• ESXi80U3j-25429389 (8.0)
• ESXi-9.0.2.0100-25595025 (9.0.x)
• ESXi-9.1.0.0-25370933 (9.1.x)
• Neuere Builds derselben Zweige

Umgehung

Unbekannt. Broadcom nennt keinen Workaround; das Einspielen von Patches ist die einzige Herstellerlösung.

Ausnutzung

• Die CISA führt die Schwachstelle als bekannt ausgenutzt, aufgenommen am 28. Oktober 2026, mit einer Frist zur Behebung bis 11. November 2026.
• Laut Sekundärberichten nutzte ein China-naher Threat Actor die Schwachstelle als Zero-Day bei Angriffen auf US-Organisationen. Broadcom und die CISA haben keine Details oder Indicators of Compromise veröffentlicht.
• Öffentlicher Proof of Concept: Nicht bestätigt.

Unsere Empfehlung

• Alle ESXi-Hosts und vCenter-Instanzen inventarisieren und die genauen Build-Nummern erfassen.
• ESX-Hosts auf die oben genannten Builds patchen und vCenter gemäss VMSA-2026-0006 patchen; CVE-2026-59309 priorisieren, falls vCenter aus unvertrauenswürdigen Netzen erreichbar ist.
• Direkte Internetexposition der ESXi- und vCenter-Managementschnittstellen entfernen und den Zugriff auf ein dediziertes Admin-Netzwerk beschränken.
• Administrator-Anmeldungen und Rechteänderungen auf Auffälligkeiten prüfen, wobei nicht protokollierte Operationen keine Spuren hinterlassen können.
• Das Patchen vor der KEV-Frist vom 11. November 2026 abschliessen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Broadcom VMSA-2026-0006.2 (Notification 38017) support.broadcom.com
• CISA Known Exploited Vulnerabilities Catalog www.cisa.gov
• CISA adds known exploited vulnerabilities to catalog (28 October 2026) www.cisa.gov
• SecurityWeek: Chinese hackers quietly used low-severity ESXi logging flaw as zero-day www.securityweek.com
• The Hacker News: China-linked hackers exploited VMware ESX thehackernews.com
• Qualys ThreatPROTECT: VMware ESX, vCenter, Workstation and Fusion threatprotect.qualys.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 13:51.