Die US-amerikanische Cybersicherheitsbehörde CISA hat zwei Schwachstellen in ihren Katalog der aktiv ausgenutzten Sicherheitslücken aufgenommen. Betroffen sind der Linux-Kernel sowie die Virtualisierungssoftware VMware ESX von Broadcom.
Grundlage für die Aufnahme waren Hinweise auf eine aktive Ausnutzung in freier Wildbahn.
Die beiden Lücken unterscheiden sich grundlegend in ihrer Art und Schwere.
- VMware ESX (CVE-2026-41709): Diese Schwachstelle betrifft das Logging der Virtualisierungssoftware. Administratoren können bestimmte Operationen ausführen, ohne dass diese protokolliert werden. Broadcom stuft das Risiko mit einem CVSS-Score von 2,7 als „niedrig“ ein. Angesichts der beobachteten Angriffe erscheint diese Einstufung jedoch zu harmlos. Die Lücke wurde bereits als Zero-Day-Exploit genutzt, um die eigenen Spuren zu verwischen.
- Linux-Kernel (CVE-2026-46300): Diese als „Fragnesia“ bekannte Schwachstelle hat einen CVSS-Score von 7,8 und wird als „hoch“ eingestuft. Ein lokaler Angreifer mit geringen Privilegien kann dadurch Page-Cache-Daten für schreibgeschützte Dateien manipulieren, privilegierte Binärdateien überschreiben und letztlich Root-Rechte erlangen. Microsoft hatte bereits im Mai vor der Lücke gewarnt.
Die Angriffsketten im Detail
Die Analyse der Angriffe zeigt, wie die Schwachstellen in der Praxis missbraucht werden.
- VMware ESX als Werkzeug zur Spurenverwischung: Die mit China in Verbindung gebrachte Gruppe „Warp Panda“ nutzte die Logging-Schwachstelle in VMware ESX als Zero-Day, um nach Angriffen auf US-Unternehmen aus dem Rechtswesen ihre Spuren zu verwischen. Zuvor hatten die Angreifer verschiedene Schadsoftware in den VMware-vCenter-Umgebungen der Opfer platziert.
- Linux-Kernel als Eskalationsstufe nach PHP2Shell: Die Linux-Lücke „Fragnesia” wurde in Verbindung mit den als „php2shell” bekannten Schwachstellen ausgenutzt. Angreifer, die ebenfalls China zugeordnet werden, nutzten diese Kette für eine mutmaßlich KI-gestützte Kampagne, bei der sie 25 Firewall-Server in den USA, Japan, Taiwan und Südkorea übernahmen. Nach dem anfänglichen Einbruch über „php2shell” diente die Kernel-Schwachstelle dazu, die Rechte auf den Zielsystemen auszuweiten.
Was Administratoren jetzt tun sollten
Obwohl die CISA-Anweisung zur Behebung offiziell nur für US-Bundesbehörden gilt, sollten Organisationen weltweit die Warnung ernst nehmen und handeln.
Die Patches sollten zeitnah eingespielt werden. Broadcom hat bereits seit Ende Juli Updates für VMware ESX bereitgestellt. Auch für die betroffenen Linux-Distributionen sind Kernel-Updates seit mehreren Monaten verfügbar. Der erste Schritt ist die umgehende Installation dieser Patches.
Da die Schwachstellen jedoch bereits aktiv ausgenutzt wurden, reicht das Einspielen der Patches allein nicht aus. Es wird empfohlen, betroffene Systeme forensisch zu untersuchen, um sicherzustellen, dass sie vor der Patch-Installation nicht bereits kompromittiert wurden.
Die Einstufung als „niedriges Risiko“ für die VMware-Lücke sollte nicht dazu verleiten, die Behebung aufzuschieben. Die aktive Ausnutzung zeigt, dass ein niedriger CVSS-Score nicht bedeutet, dass eine Schwachstelle ignoriert werden kann.
