攻击者利用 Linux 内核与 VMware ESX 漏洞发起攻击
Angriffe auf Linux- und VMware-ESX-Schwachstellen | heise online
CISA 已将 VMware ESX 日志漏洞（CVE-2026-41709，CVSS 2.7）和 Linux 内核 Fragnesia 漏洞（CVE-2026-46300，CVSS 7.8）列入“已知被利用漏洞”目录，确认二者正遭实际攻击。与中国关联的“Warp Panda”组织利用 ESX 漏洞作为 Zero-Day 清除痕迹，另一批攻击者则借 php2shell 攻入 25 台防火墙服务器后，再用 Fragnesia 提权。Broadcom 自 7 月底起提供 ESX 更新，PHP 开发者上周已修复 php2shell，Palo Alto Networks 也警告 PAN-OS 存在相关风险并提供 Hotfix。
正文
close notice
This article is also available in English.
It was translated with technical assistance and editorially reviewed before publication.
.
Bösartige Akteure missbrauchen Sicherheitslücken in älteren Linux-Kernel-Versionen und VMware ESX. Sie verwischen damit ihre Spuren oder weiten ihre Rechte nach Einbruch aus.
Weiterlesen nach der Anzeige
Die US-amerikanische IT-Sicherheitsbehörde CISA hat die beobachteten Angriffe durch die Aufnahme in den „Known-Exploited-Vulnerabilities“-Katalog bestätigt. Es geht einerseits um eine Schwachstelle in Broadcoms VMware ESX. Die wurde Ende Juli dieses Jahres bekannt und betrifft das Logging der Virtualisierungssoftware. Admins können bestimmte Operationen ausführen, ohne dass sie protokolliert werden (CVE-2026-41709, CVSS 2.7, Risiko „niedrig“). Die Einstufung als niedriges Risiko wirkt angesichts der Angriffe zu harmlos – Broadcom hält bislang dennoch daran fest. Die IT-Sicherheitsfirma Crowdstrike hat in ihrem am Mittwoch veröffentlichten Bericht zur Bedrohungslage der Rechtsbranche 2026 ausgeführt, dass Angreifer der Gruppierung „Warp Panda“ mit Verbindungen zu China US-Unternehmen aus dem juristischen Bereich attackiert haben. Dabei platzierten sie unterschiedliche Malware in den VMware-vCenter-Umgebungen der Opfer. Außerdem nutzten sie die Protokollierungsschwachstelle als Zero-Day, um ihre Spuren zu verwischen.
Linux-Lücke mit php2shell verknüpft
Am Dienstag wurde bekannt, dass die „php2shell“ genannte Sicherheitslücke inzwischen erfolgreich angegriffen wird. Die ebenfalls China zugeordneten Angreifer haben sie für eine mutmaßlich KI-gestützte Angriffskampagne genutzt, bei der sie 25 Firewall-Server aus den USA, Japan, Taiwan und Südkorea gerootet (also übernommen) haben, berichtet die IT-Sicherheitsfirma Dream – ohne das konkret betroffene Produkt zu benennen. Allerdings warnt Palo Alto Networks seit Mittwoch vor aktivem missbrauch der „php2shell“-Lücken in dem Firewall-Betriebssystem PAN-OS, Hotfixes stehen zum Ausbessern bereit. Nach dem Einbruch über „php2shell“ folgte in den Zielsystemen die Rechteausweitung mithilfe der als „Fragnesia“ bekannt gewordenen Linux-Kernel-Schwachstelle. Vor der Lücke (CVE-2026-46300, CVSS 7.8, Risiko „hoch“) hat Microsoft bereits Mitte Mai dieses Jahres gewarnt; Kernel-Updates stehen ebenfalls seit mehreren Monaten bereit.
IT-Verantwortliche sollten prüfen, ob in ihren Umgebungen noch Server mit alten Softwareständen laufen und die Aktualisierung gegebenenfalls zügig nachholen. Broadcom liefert die Updates für VMware ESX seit Ende Juli, die php2shell-Lücken haben die PHP-Entwickler in der vergangenen Woche geschlossen.
Im Text ergänzt, dass Palo Alto Networks vor Angriffen auf die php2shell-Lücken in dem Firewall-Betriebssystem PAN-OS warnt.
(dmk)