VMware ESX: Log-Umgehung CVE-2026-41709 als Zero-Day ausgenutzt
CVE-2026-41709 in VMware ESX erlaubt Administratoren, bestimmte Aktionen ohne Logeintrag auszuführen. Laut CrowdStrike nutzte die Gruppe Warp Panda das als Zero-Day, CISA hat die Lücke am 28. Oktober in den KEV-Katalog aufgenommen. Welche Builds sicher sind und was Admins prüfen sollten.
Die US-Behörde CISA hat am 28. Oktober 2026 die VMware-ESX-Schwachstelle CVE-2026-41709 in ihren Katalog aktiv ausgenutzter Lücken (KEV) aufgenommen. Anlass ist ein Bericht von CrowdStrike vom selben Tag: Die China zugeordnete Gruppe Warp Panda hat die Lücke noch Anfang 2026 als Zero-Day genutzt, um Aktionen auf ESX-Hosts an der Protokollierung vorbei auszuführen. Broadcom hatte die Lücke bereits am 29. Juli 2026 mit VMSA-2026-0006 geschlossen.
Betroffen sind ESX 8.0 und 9.x vor den unten genannten Builds sowie VMware Cloud Foundation, vSphere Foundation und Telco Cloud Platform. Wer seit dem Sommer konsequent gepatcht hat, ist bei dieser CVE abgesichert. Der Angriff setzt Administratorrechte auf dem Host voraus, eine Fernübernahme ohne Anmeldung ist das nicht. Admins sollten heute den Patchstand prüfen und offene Hosts zeitnah im nächsten Wartungsfenster aktualisieren.
Was ist passiert?
Laut Broadcom enthält VMware ESX eine Schwachstelle durch unzureichende Protokollierung. Ein böswilliger Administrator kann bestimmte Operationen ausführen, ohne dass sie im Log erscheinen. Broadcom stuft das mit CVSS 2.7 als niedrig ein. CrowdStrike beschreibt die Lücke in seinem Legal Threat Landscape Report als Umgehung der ESXi-Befehlsprotokollierung und schreibt, Warp Panda habe in VMware-vCenter-Umgebungen von US-Organisationen, darunter Kanzleien, mehrere Malware-Familien eingesetzt und dabei CVE-2026-41709 als Zero-Day ausgenutzt.
The Hacker News ordnet ein, dass die Gruppe typischerweise über Zero-Days in aus dem Internet erreichbaren Edge-Geräten eindringt und danach in vCenter-Umgebungen wechselt, um dort unter anderem die Malware BRICKSTORM zu platzieren. In einzelnen Fällen soll sie zusätzliche MFA-Geräte an übernommenen Konten registriert haben. Diese Details stammen aus dem Bericht von The Hacker News, der CrowdStrike-Blog nennt sie nur in Kurzform.
Wer ist betroffen?
Laut Response Matrix von VMSA-2026-0006 und NVD sind folgende Versionen verwundbar, korrigiert sind:
- ESX 9.1.x: behoben ab ESXi-9.1.0.0-25370933 (VMware Cloud Foundation und vSphere Foundation)
- ESX 9.0.x: behoben ab ESXi-9.0.2.0100-25595025
- ESX 8.0: behoben ab ESXi80U3j-25429389
- VMware Cloud Foundation 5.x: behoben mit 5.2.4
- Telco Cloud Platform 5.0.x und 5.1.x: Hinweise in KB449886, dort ebenfalls ESXi80U3j-25429389
Für ESX 7.0 enthält die Matrix zu dieser CVE keinen Eintrag. Workstation, Fusion und vCenter selbst sind von CVE-2026-41709 nicht betroffen, stehen aber mit anderen Lücken im selben Advisory.
Wie kritisch ist das?
Technisch ist CVE-2026-41709 keine Einbruchslücke, sondern ein Werkzeug für die Zeit danach: Wer bereits Admin-Zugriff auf ESX hat, kann Spuren vermeiden. Gefährlich ist das in Kombination, denn forensische Auswertung und Erkennung stützen sich auf genau diese Logs. Die bestätigte Ausnutzung durch eine staatlich unterstützte Gruppe hebt die Priorität deutlich über den niedrigen CVSS-Wert. US-Bundesbehörden müssen bis 11. November patchen. Für Unternehmen ist es kein Notfall wie eine Lücke ohne Anmeldung, offene Hosts gehören aber oben auf die Liste.
Was sollten Admins jetzt tun?
- Inventar prüfen: Build aller ESX-Hosts in vCenter oder per
esxcli system version getabfragen und mit den korrigierten Builds vergleichen. - Hosts unterhalb der genannten Stände aktualisieren, vCenter gleich mit, da VMSA-2026-0006 dort kritische Lücken mit CVSS 9.8 schließt. Zur bereits ausgenutzten vCenter-Lücke CVE-2026-59310 gibt es eine eigene Meldung auf S-EDV.
- Admin-Konten für ESX und vCenter überprüfen, unbekannte Konten und neu registrierte MFA-Geräte an zentralen Konten kontrollieren.
- ESX-Logs per Syslog auf ein externes System weiterleiten (
esxcli system syslog config get), damit lokale Manipulationen nicht alle Spuren tilgen. - Aus dem Internet erreichbare Edge-Geräte wie VPN-Gateways und Firewalls auf aktuellen Patchstand bringen, da dort laut Berichten der Erstzugang erfolgt.
Einordnung für Unternehmen
Die Meldung zeigt, dass auch niedrig bewertete Lücken relevant werden, wenn sie in reale Angriffsketten passen. Der eigentliche Einbruch erfolgt über andere Schwachstellen, CVE-2026-41709 erschwert danach das Erkennen. Wer ESX im Einsatz hat, sollte das Juli-Advisory nicht nur wegen der kritischen vCenter-Lücken umgesetzt haben, sondern auch wegen dieser ESX-Korrektur. Zentrale, manipulationsgeschützte Protokollierung außerhalb der Hypervisoren ist dabei die wichtigste Härtungsmaßnahme.
