Chinesische Hacker nutzen VMware ESX Zero-Day zum Verwischen von Spuren

Chinesische Hacker-Gruppen haben eine bislang unbekannte Schwachstelle in VMware ESX (CVE-2026-41709) in der Praxis ausgenutzt, um ihre Aktivitäten vor Sicherheitsüberwachung zu verbergen. Das U.S. Cybersecurity and Infrastructure Security Agency (CISA) hat die Lücke in seinen Katalog der aktiv exploitierten Sicherheitsfehler aufgenommen, nachdem die Sicherheitsforscher von CrowdStrike und anderen Forschungsteams den Missbrauch dokumentiert hatten. Laut SecurityWeek handelt es sich bei CVE-2026-41709 um einen gering eingestuften Fehler im Logging-System: Die Schwachstelle erlaubt Angreifern mit administrativen Rechten, Operationen durchzuführen, ohne sie in die Audit-Logs einzutragen. Dies macht die Lücke für Angreifer besonders wertvoll, die bereits in ein System eingedrungen sind und ihre Aktivitäten verschleiern wollen.

Die eigentliche Gefahr liegt in der Verkettung mehrerer Exploits. Wie Help Net Security berichtet, haben die chinesischen Bedrohungsakteure die VMware-Lücke mit sogenannten PHP2Shell-Flaws und dem Linux-Kernel-Bug „Fragnesia" kombiniert, um vollständigen Root-Zugriff auf Firewalls und Server zu erlangen. Dieser mehrschichtige Angriffsansatz zeigt eine koordinierte Kampagne: Angreifer drangen zunächst über PHP2Shell-Lücken in Web-Applikationen ein, nutzten dann die VMware ESX-Logging-Schwachstelle, um ihre Spuren zu verwischen, und exploitierten schließlich Fragnesia im Linux-Kernel, um sich Administratorrechte zu verschaffen. Die CISA warnt vor diesem Angriffsmusters und hat die Behörden aufgefordert, ihre ESX-Systeme auf Anzeichen unbefugter Zugriffe zu prüfen – unabhängig davon, ob die Logs Anomalien zeigen.

Nach Heise Security handelt es sich nicht um einen neuen Fehler, sondern um eine bereits bekannte Lücke, die erst jetzt als Zero-Day-Exploit in freier Wildbahn eingesetzt wird. Die Aufnahme in die CISA KEV-Liste verpflichtet U.S.-Regierungsbehörden und deren kritische Infrastruktur-Partner zur Behebung der Schwachstelle innerhalb definierter Fristen. Broadcom, das Unternehmen hinter VMware, hat Patches bereitgestellt, hat aber noch keine umfassende Zwangsmaßnahme angekündigt. Die Lücke betrifft ESX-Versionen ab 7.x, wobei ältere Releases ebenfalls anfällig sind.

Warum für DACH relevant

Im deutschsprachigen Raum betrifft diese Kampagne Tausende von Unternehmen, die VMware-Infrastruktur zur Virtualisierung ihrer kritischen Systeme einsetzen. Nach DSGVO-Anforderungen müssen Datenschutzverantwortliche sicherstellen, dass unbefugte Zugriffe auf personenbezogene Daten erkannt und gemeldet werden. Die VMware ESX-Lücke ermöglicht es Angreifern jedoch genau das zu umgehen: Sie können in Systeme eindringen, Daten abgreifen und ihre Spuren durch Audit-Log-Manipulation verwischen. Dies gefährdet die Nachweispflicht nach DSGVO und kann zu erheblichen Bußgeldern führen, wenn eine Datenschutzverletzung nicht rechtzeitig erkannt wird.

Deutsche Mittelstands-Unternehmen, die keine Sicherheitsteams mit Spezialkenntnissen beschäftigen, sind besonders anfällig. Viele verlassen sich auf Standard-Monitoring-Tools, die Logging-Gaps nicht automatisch erkennen. Der Einsatz von PHP in Web-Applikationen ist in Europa weiterhin verbreitet; PHP2Shell-Lücken sind daher auch im DACH-Raum ein relevanter Angriffsvekt. Die Kombination mit der VMware-Lücke und dem Linux-Kernel-Bug Fragnesia zeigt, dass Angreifer nicht nur einzelne Schwachstellen nutzen, sondern bewusst mehrere Schichten durchdringen – ein Szenario, das klassische Perimeter-Defense überwinden kann.

Regulatoren der Bundesrepublik und Österreichs haben bereits Warnungen zu ähnlichen Kampagnen ausgegeben. Das deutsche BSI (Bundesamt für Sicherheit in der Informationstechnik) empfiehlt, VMware-Umgebungen auf verdächtige Logeinträge zu überprüfen und gleichzeitig PHP-Versionen zu prüfen und zu aktualisieren. Unternehmen, die unter den EU-AI-Act oder die Netz-Sicherheitsverordnung (NIS2) fallen, müssen Sicherheitsvorfälle dokumentieren – auch solche, bei denen Logs manipuliert wurden.

Was du jetzt tun/wissen solltest

Der wichtigste Schritt ist nicht, panikgesteuert Patches einzuspielen, sondern strukturiert die Exponierung zu klären. Unternehmen sollten zunächst inventarisieren, welche VMware ESX-Versionen in Betrieb sind und ob PHP2Shell-relevante Web-Applikationen damit verbunden sind. Danach empfiehlt sich ein forensischer Check: Wurden die Audit-Logs in den letzten Monaten verdächtig modifiziert oder sind Lücken im Logging sichtbar? Falls ja, liegt ein Incident vor, der dokumentiert und – je nach Datenumfang – der zuständigen Behörde gemeldet werden muss.

Parallel dazu sollten Patches eingespielt werden, nicht zuletzt weil CISA und BSI klare Handlungsaufträge ausgeben. Besonders kritisch ist es, PHP-Versionen zu prüfen: Viele Unternehmen betreiben veraltete PHP-Instanzen, ohne es zu wissen. Ein interner Vulnerability-Scan kann solche Blindflecken aufdecken. Ein weiterführender Ansatz ist die Implementierung von zentralisierten Logging-Systemen, die unveränderbar (immutable) sind und nicht auf der zu schützenden Infrastruktur selbst laufen. Solche Systeme erschweren es Angreifern erheblich, Spuren zu verwischen – und sie sind ein Best-Practice im Kontext von KI-Pentesting, das solche Schwachstellen systematisch identifiziert. Weitere Einblicke zum Einsatz von KI-Modellen zur Exploitierung von Sicherheitslücken zeigen, wie automatisierte Systeme solche Kettenlücken erkennen können.

Quellen

• Help Net Security – Chinese hackers used VMware ESX zero-day
• Heise Security – Angriffe auf Linux- und VMware-ESX-Schwachstellen
• SecurityWeek – Chinese Hackers Quietly Used Low-Severity ESXi Logging Flaw as Zero-Day
• The Hacker News – China-Linked Hackers Exploited VMware ESX Zero-Day