Broadcom hat mit dem Security Advisory VMSA-2026-0006 gleich fünf Schwachstellen in VMware-Produkten geschlossen. Drei davon gelten als kritisch. Betroffen sind ESXi, vCenter, Workstation und Fusion, dazu unter anderem VMware Cloud Foundation, vSphere Foundation und mehrere Telco-Cloud-Produkte. Aktiv ausgenutzt wird bislang keine der Lücken, doch die Kombination deckt fast jedes Schreckensszenario ab, das man in einer Virtualisierungsumgebung haben kann. Patches stehen bereit, Workarounds gibt es für keine der fünf Schwachstellen.

Ausbruch aus der virtuellen Maschine

Die technisch interessanteste Lücke ist CVE-2026-47876, eine Out-of-Bounds-Write-Schwachstelle im virtuellen Netzwerkadapter VMXNET3 von ESXi mit einem CVSS-Wert von 9,3. Ein Angreifer, der innerhalb einer Gast-VM bereits lokale Administratorrechte besitzt, kann darüber Code direkt auf dem ESXi-Host ausführen. Er bricht also aus der virtuellen Maschine aus und landet auf dem Wirt, auf dem alle anderen VMs laufen.

Das ist der Kern des Problems. Das ganze Versprechen von Virtualisierung beruht darauf, dass eine VM eine abgeschottete Kiste ist. Was drin passiert, bleibt drin. Ein VM-Escape hebt genau diese Trennung auf. In einer typischen Umgebung mit mehreren Mandanten oder Sicherheitszonen auf demselben Host kann ein Angreifer nach dem Ausbruch auf fremde VMs übergreifen. Betroffen sind ausschließlich virtuelle Maschinen, die einen VMXNET3-Adapter verwenden. Ein Update der VMware Tools ist nach Angaben von Broadcom für die Behebung nicht erforderlich.

vCenter ohne gültige Zugangsdaten übernehmbar

Noch höher bewertet Broadcom die beiden vCenter-Lücken CVE-2026-59309 und CVE-2026-59310, beide mit einem CVSS-Wert von 9,8. Beide lassen sich ohne gültige Zugangsdaten allein über Netzwerkzugriff ausnutzen.

CVE-2026-59309 betrifft den VMware Directory Service. Ein Angreifer mit Netzwerkzugriff auf vCenter kann damit die Authentifizierung umgehen und sich unberechtigten Zugang zum System verschaffen. CVE-2026-59310 ist eine Directory-Traversal-Schwachstelle im Syslog-Server von vCenter, die zur Ausführung beliebigen Codes führen kann. In der Praxis muss man beide nicht getrennt denken. Erst die Anmeldung umgehen, dann Code ausführen, das ergibt eine komplette Angriffskette. vCenter ist der Generalschlüssel einer VMware-Umgebung. Wer es kontrolliert, kontrolliert alle angebundenen Hosts und VMs.

Zwei weitere Schwachstellen

CVE-2026-41703 ist eine Out-of-Bounds-Read-Schwachstelle in ESXi, Workstation und Fusion. Nutzer mit Berechtigungen zum Bereitstellen virtueller Maschinen könnten darüber Informationen auslesen oder einen Denial-of-Service des Hostprozesses auslösen. Unter Workstation und Fusion beschränkt sich die Auswirkung laut Hersteller auf die Offenlegung von Informationen.

CVE-2026-41709 betrifft eine unzureichende Protokollierung in ESXi. Ein böswilliger Administrator könnte bestimmte Aktionen durchführen, ohne dass diese ordnungsgemäß in den Protokollen auftauchen. Das ist keine klassische Einbruchslücke, kann aber die spätere Aufklärung eines Vorfalls erheblich erschweren.