Attackers exploit Linux kernel and VMware ESX vulnerabilities to launch attacks
CISA has added the VMware ESX logging vulnerability (CVE-2026-41709, CVSS 2.7) and the Linux kernel Fragnesia vulnerability (CVE-2026-46300, CVSS 7.8) to its "Known Exploited Vulnerabilities" catalog, confirming that both are being actively exploited in real-world attacks. The China-linked "Warp Panda" group used the ESX vulnerability as a zero-day to erase traces, while another set of attackers used php2shell to breach 25 firewall servers and then used Fragnesia for privilege escalation. Broadcom has been providing ESX updates since the end of July, PHP developers fixed php2shell last week, and Palo Alto Networks has also warned of related risks in PAN-OS and provided a hotfix.
Body
close notice
This article is also available in English.
It was translated with technical assistance and editorially reviewed before publication.
.
Bösartige Akteure missbrauchen Sicherheitslücken in älteren Linux-Kernel-Versionen und VMware ESX. Sie verwischen damit ihre Spuren oder weiten ihre Rechte nach Einbruch aus.
Weiterlesen nach der Anzeige
Die US-amerikanische IT-Sicherheitsbehörde CISA hat die beobachteten Angriffe durch die Aufnahme in den „Known-Exploited-Vulnerabilities“-Katalog bestätigt. Es geht einerseits um eine Schwachstelle in Broadcoms VMware ESX. Die wurde Ende Juli dieses Jahres bekannt und betrifft das Logging der Virtualisierungssoftware. Admins können bestimmte Operationen ausführen, ohne dass sie protokolliert werden (CVE-2026-41709, CVSS 2.7, Risiko „niedrig“). Die Einstufung als niedriges Risiko wirkt angesichts der Angriffe zu harmlos – Broadcom hält bislang dennoch daran fest. Die IT-Sicherheitsfirma Crowdstrike hat in ihrem am Mittwoch veröffentlichten Bericht zur Bedrohungslage der Rechtsbranche 2026 ausgeführt, dass Angreifer der Gruppierung „Warp Panda“ mit Verbindungen zu China US-Unternehmen aus dem juristischen Bereich attackiert haben. Dabei platzierten sie unterschiedliche Malware in den VMware-vCenter-Umgebungen der Opfer. Außerdem nutzten sie die Protokollierungsschwachstelle als Zero-Day, um ihre Spuren zu verwischen.
Linux-Lücke mit php2shell verknüpft
Am Dienstag wurde bekannt, dass die „php2shell“ genannte Sicherheitslücke inzwischen erfolgreich angegriffen wird. Die ebenfalls China zugeordneten Angreifer haben sie für eine mutmaßlich KI-gestützte Angriffskampagne genutzt, bei der sie 25 Firewall-Server aus den USA, Japan, Taiwan und Südkorea gerootet (also übernommen) haben, berichtet die IT-Sicherheitsfirma Dream – ohne das konkret betroffene Produkt zu benennen. Allerdings warnt Palo Alto Networks seit Mittwoch vor aktivem missbrauch der „php2shell“-Lücken in dem Firewall-Betriebssystem PAN-OS, Hotfixes stehen zum Ausbessern bereit. Nach dem Einbruch über „php2shell“ folgte in den Zielsystemen die Rechteausweitung mithilfe der als „Fragnesia“ bekannt gewordenen Linux-Kernel-Schwachstelle. Vor der Lücke (CVE-2026-46300, CVSS 7.8, Risiko „hoch“) hat Microsoft bereits Mitte Mai dieses Jahres gewarnt; Kernel-Updates stehen ebenfalls seit mehreren Monaten bereit.
IT-Verantwortliche sollten prüfen, ob in ihren Umgebungen noch Server mit alten Softwareständen laufen und die Aktualisierung gegebenenfalls zügig nachholen. Broadcom liefert die Updates für VMware ESX seit Ende Juli, die php2shell-Lücken haben die PHP-Entwickler in der vergangenen Woche geschlossen.
Im Text ergänzt, dass Palo Alto Networks vor Angriffen auf die php2shell-Lücken in dem Firewall-Betriebssystem PAN-OS warnt.
(dmk)