VMware-Lücken: Broadcom warnt vor drei kritischen XSS-Schwachstellen

Juni 2026 eine Warnung vor mehreren Sicherheitslücken in seiner VMware-Sparte herausgegeben. Betroffen sind zentrale Management-Komponenten der Cloud-Infrastruktur. Authentifizierte Angreifer könnten die Schwachstellen ausnutzen, um bösartige Skripte in die Systeme einzuschleusen und administrative Aktionen zu manipulieren.

Hochriskante XSS-Lücken in Cloud-Komponenten

Die nun gemeldeten Schwachstellen betreffen primär VMware Cloud Foundation Operations und Aria Operations. Es handelt sich um sogenannte Stored-Cross-Site-Scripting-Lücken (XSS) unter den Kennungen CVE-2026-41722, CVE-2026-41723 und CVE-2026-41724. Der CVSS-Score von 8.0 stuft die Sicherheitsrisiken als hoch ein.

Anzeige: Die drei kritischen XSS-Lücken in VMware Cloud Foundation und Aria Operations (CVSS 8.0) erfordern sofortiges Handeln – Workarounds gibt es nicht. Unser Report liefert eine Checkliste für die ersten 60 Minuten, den exakten Patch-Guide und eine Priorisierungsstrategie für Ihr gesamtes VMware-Ökosystem. Jetzt kostenlosen Sofortmaßnahmen-Report anfordern

Angreifer mit Authentifizierungsrechten zum Erstellen von Richtlinien, Ansichten oder Widgets können Schadcode in die Weboberfläche injizieren. Dieser Code wird dauerhaft gespeichert und ausgeführt, sobald ein anderer Nutzer – etwa ein Administrator – die betroffene Seite aufruft. Damit ließen sich weitreichende administrative Aktionen im Kontext des Opfers durchführen.

Entdeckt wurden die Lücken durch Alexis Bernazzani von Visa Inc. Broadcom betonte, dass bisher keine Berichte über einen aktiven Missbrauch dieser spezifischen Schwachstellen vorliegen. Da jedoch keine Workarounds zur Verfügung stehen, empfiehlt der Konzern die zeitnahe Installation der bereitgestellten Sicherheitsupdates.

Patches für betroffene Produkte

Um die Risiken zu minimieren, hat Broadcom Aktualisierungen für verschiedene Produktlinien veröffentlicht. Administratoren sollten ihre Systeme auf die folgenden Versionen oder höher migrieren:

• VMware Cloud Foundation / vSphere Foundation: Version 9.1.0.0 oder 9.0.2.0 EP2
• VMware Aria Operations: Version 8.18.6 oder 8.18.7
• VMware Telco Cloud Platform: Anwendung des Knowledge-Base-Artikels KB443138

Rückblick: Komplexe Angriffsszenarien bei ESXi

Parallel zu den aktuellen Warnungen veröffentlichten Sicherheitsforscher von Huntress Anfang Juni detaillierte Analysen zu früheren Vorfällen. Dabei ging es um Zero-Day-Lücken in VMware ESXi (darunter CVE-2025-22224 bis CVE-2025-22226), die bereits im Dezember 2025 für gezielte Angriffe genutzt wurden.

Den Untersuchungen zufolge bereiteten chinesische Akteure diese Angriffe ab Februar 2024 vor. Der Zugang zu den Systemen erfolgte häufig über kompromittierte VPN-Zugänge von Drittanbietern und die Übernahme von Domain-Administrator-Konten. Das unterstreicht die anhaltende Attraktivität von Virtualisierungslösungen als Ziel für hochspezialisierte Cyberspionage.

Anzeige: Während Broadcom Patches bereitstellt, zeigt die Analyse von Huntress, wie chinesische Akteure bereits 2025 Zero-Day-Lücken in ESXi ausnutzten – oft über kompromittierte VPN-Zugänge. Unser Report hilft Ihnen, Ihre VMware-Umgebung gegen solche Angriffsszenarien zu wappnen, inklusive Check-up für Drittanbieter-Zugänge. VMware-Sicherheits-Check-up jetzt sichern

Angespannte Sicherheitslage bei Infrastruktur-Software

Die Warnung von Broadcom reiht sich in eine Serie von Sicherheitsmeldungen Anfang Juni ein. So warnte das Bundesamt für Sicherheit in der Informationstechnik (BSI) am 8. Juni vor Schwachstellen in OpenSSH (darunter CVE-2026-35385), die Linux-, UNIX- und Windows-Systeme betreffen. Hier empfiehlt das BSI ein Update auf Version 10.3 oder höher.

Zudem meldeten Sicherheitsforscher eine Denial-of-Service-Lücke in der FTP-Server-Software SolarWinds Serv-U (CVE-2026-28318) sowie kritische Schwachstellen im UniFi OS, die eine Übernahme von Root-Rechten ermöglichen. Unternehmen sind angesichts dieser kumulierten Risiken aufgerufen, ihre Patch-Management-Prozesse für kritische Infrastrukturkomponenten zu priorisieren.

de | wirtschaft | 69502539 |