Angriffe auf Linux- und VMware-ESX-Schwachstellen

Bösartige Akteure missbrauchen Sicherheitslücken in älteren Linux-Kernel-Versionen und VMware ESX. Sie verwischen damit ihre Spuren oder weiten ihre Rechte nach Einbruch aus.

Die US-amerikanische IT-Sicherheitsbehörde CISA hat die beobachteten Angriffe durch die Aufnahme in den „Known-Exploited-Vulnerabilities“-Katalog bestätigt. Es geht einerseits um eine Schwachstelle in Broadcoms VMware ESX. Die wurde Ende Juli dieses Jahres bekannt und betrifft das Logging der Virtualisierungssoftware. Admins können bestimmte Operationen ausführen, ohne dass sie protokolliert werden (CVE-2026-41709, CVSS 2.7, Risiko „niedrig“). Die Einstufung als niedriges Risiko wirkt angesichts der Angriffe zu harmlos – Broadcom hält bislang dennoch daran fest. Die IT-Sicherheitsfirma Crowdstrike hat in ihrem am Mittwoch veröffentlichten Bericht zur Bedrohungslage der Rechtsbranche 2026 ausgeführt, dass Angreifer der Gruppierung „Warp Panda“ mit Verbindungen zu China US-Unternehmen aus dem juristischen Bereich attackiert haben. Dabei platzierten sie unterschiedliche Malware in den VMware-vCenter-Umgebungen der Opfer. Außerdem nutzten sie die Protokollierungsschwachstelle als Zero-Day, um ihre Spuren zu verwischen.

Linux-Lücke mit php2shell verknüpft

Am Dienstag wurde bekannt, dass die „php2shell“ genannte Sicherheitslücke inzwischen erfolgreich angegriffen wird. Die ebenfalls China zugeordneten Angreifer haben sie für eine mutmaßlich KI-gestützte Angriffskampagne genutzt, bei der sie 25 Firewall-Server aus den USA, Japan, Taiwan und Südkorea gerootet (also übernommen) haben, berichtet die IT-Sicherheitsfirma Dream – ohne das konkret betroffene Produkt zu benennen. Nach dem Einbruch über „php2shell“ folgte in den Zielsystemen die Rechteausweitung mithilfe der als „Fragnesia“ bekannt gewordenen Linux-Kernel-Schwachstelle. Vor der Lücke (CVE-2026-46300, CVSS 7.8, Risiko „hoch“) hat Microsoft bereits Mitte Mai dieses Jahres gewarnt; Kernel-Updates stehen ebenfalls seit mehreren Monaten bereit.

IT-Verantwortliche sollten prüfen, ob in ihren Umgebungen noch Server mit alten Softwareständen laufen und die Aktualisierung gegebenenfalls zügig nachholen. Broadcom liefert die Updates für VMware ESX seit Ende Juli, die php2shell-Lücken haben die PHP-Entwickler in der vergangenen Woche geschlossen.

(dmk)