IT-Wochenrückblick KW 34/2026: VMware-vCenter-Zero-Day mit ESXi-Ransomware, macOS-Lücke & erster autonomer KI-Angriff

Liebe Leserinnen und Leser,

diese Woche zeigt, wie schnell aus einer bekannten Lücke ein weltweiter Angriff wird: Eine kritische Schwachstelle in VMware vCenter wird binnen weniger Tage rund um den Globus ausgenutzt – teils mit Ransomware auf den virtuellen Servern. Zugleich greifen Angreifer eine Lücke in der Bildschirmfreigabe von Apples macOS an, für die es bereits einen öffentlichen Angriffscode gibt. Und ein Fall aus der Praxis führt vor Augen, wohin die Reise geht: Erstmals hat eine künstliche Intelligenz einen Cyberangriff nahezu im Alleingang durchgeführt. Wir haben die drei wichtigsten Themen für Sie eingeordnet und die kompakten Quick News zusammengestellt.

Top 1: VMware vCenter – kritische Zero-Day-Lücke wird weltweit für Ransomware ausgenutzt

In der weit verbreiteten Virtualisierungs-Verwaltung VMware vCenter wird eine kritische Schwachstelle (CVE-2026-59310, Bedrohungswert 9,8 von 10) aktiv angegriffen. Über die Lücke – eine sogenannte Path-Traversal-Schwäche – können Angreifer aus dem Netz Schadcode mit höchsten Rechten („root“) ausführen und das Verwaltungssystem der virtuellen Server vollständig übernehmen. Broadcom, der Hersteller hinter VMware, hatte das Update bereits am 29. Juli 2026 bereitgestellt.

Besonders alarmierend ist das Tempo: Erste Angriffe begannen rund fünf Tage nach Veröffentlichung der Lücke. Die deutsche Sicherheitsfirma Quirso beobachtete binnen weniger Tage rund 361 betroffene Systeme in 47 Ländern – der Großteil davon innerhalb von nur zwei Tagen. Hinter der Kampagne wird mit mittlerer Sicherheit eine chinesischsprachige Angreifergruppe vermutet. Die US-Behörde CISA hat die Lücke am 18. August in ihren Katalog aktiv ausgenutzter Schwachstellen aufgenommen.

Auf einzelnen Systemen brachten die Angreifer zusätzlich eine Verschlüsselung (Ransomware) auf den ESXi-Servern aus – erkennbar an der Dateiendung „.babyk“, die auf die Babuk-Familie hindeutet. Sicherheitsforscher vermuten allerdings, dass die Verschlüsselung teils nur ein Ablenkungsmanöver war, um vom eigentlichen Eindringen abzulenken. Für Betriebe heißt das: Wer VMware einsetzt, sollte umgehend handeln.

Was bedeutet das für Sie?

• Fragen Sie Ihren IT-Dienstleister, ob VMware vCenter im Einsatz ist, und lassen Sie das Update von Ende Juli umgehend einspielen – vorrangig bei aus dem Internet erreichbaren Systemen.
• Machen Sie die Verwaltungsoberflächen von vCenter und ESXi nicht offen aus dem Internet erreichbar und trennen Sie sie in ein eigenes, geschütztes Netzsegment.
• Lassen Sie nach einem möglichen Zugriff auf Spuren einer Kompromittierung prüfen und stellen Sie sicher, dass getrennt gelagerte, aktuelle Backups Ihrer virtuellen Server vorliegen.

Top 2: Apple macOS – aktiv ausgenutzte Lücke in der Bildschirmfreigabe

Eine Schwachstelle in der Bildschirmfreigabe („Screen Sharing“) von Apples macOS (CVE-2026-65400, Bedrohungswert 9,8) wird derzeit aktiv ausgenutzt. Über die Lücke lässt sich die Anmeldung umgehen; Angreifer erlangen anschließend höchste Rechte („root“) auf dem Mac. Apple hatte den Fehler bereits am 6. August 2026 mit Updates für macOS Tahoe (26.6.1), Sequoia (15.7.9) und Sonoma (14.8.9) geschlossen.

Brisant ist, dass für die Lücke bereits ein öffentlicher Angriffscode („Proof of Concept“) kursiert. Die niederländische Cyber-Sicherheitsbehörde NCSC-NL meldete Mitte August, dass Angriffe „in freier Wildbahn“ beobachtet wurden – vor allem auf Macs, deren Bildschirmfreigabe (Netzwerk-Port 5900) offen aus dem Internet erreichbar war. Auf übernommenen Geräten installierten die Angreifer heimlich einen Krypto-Miner, der die Rechenleistung zum Schürfen der Digitalwährung Monero missbraucht.

Auch wenn Macs im Mittelstand seltener sind als Windows-Rechner: In Agenturen, Kanzleien und bei vielen Selbstständigen sind sie im Einsatz – und die Bildschirmfreigabe wird für Fernwartung gern genutzt. Genau diese Funktion ist hier das Einfallstor.

Was bedeutet das für Sie?

• Aktualisieren Sie alle Macs zeitnah auf die aktuelle macOS-Version (Tahoe 26.6.1, Sequoia 15.7.9 oder Sonoma 14.8.9) – auch privat genutzte Geräte.
• Deaktivieren Sie die Bildschirmfreigabe, wenn Sie sie nicht benötigen, und machen Sie den Fernzugriff (Port 5900) niemals offen aus dem Internet erreichbar.
• Nutzen Sie für Fernwartung einen abgesicherten Zugang (z. B. VPN) statt einer direkt im Internet stehenden Bildschirmfreigabe.

Top 3: Erster autonomer KI-Cyberangriff – wie eine KI 460 Systeme im Alleingang attackierte

Sicherheitsforscher von Palo Alto Networks (Unit 42) haben den ersten breit dokumentierten Fall eines weitgehend autonomen KI-Cyberangriffs öffentlich gemacht. Ein chinesischsprachiger Angreifer koppelte das KI-Modell DeepSeek an ein frei verfügbares Steuerungswerkzeug („Hermes Agent“). Die Kombination suchte selbstständig nach verwundbaren Systemen, wählte passende Angriffscodes aus und feuerte sie ab – nahezu ohne menschliches Zutun.

Insgesamt nahm die KI über 460 Systeme ins Visier und nutzte dabei acht bekannte Schwachstellen in exponierten Diensten wie Langflow, Citrix NetScaler und n8n. Bestätigt wurden am Ende zwar nur wenige erfolgreiche Einbrüche – doch der Fall zeigt, dass Angriffe zunehmend automatisiert und in hohem Tempo ablaufen. Aufgeflogen ist die Operation nur, weil die KI selbst einen Server falsch konfigurierte und so die eigene Infrastruktur offenlegte.

Bemerkenswert am Rande: Die Angreifer versuchten zunächst, denselben Ablauf mit den KI-Modellen von Anthropic (Claude) und OpenAI aufzubauen – beide verweigerten die Mitarbeit. Erst DeepSeek ließ sich einspannen. Für Unternehmen bedeutet der Trend vor allem eines: Bekannte, ungepatchte Lücken werden künftig noch schneller und in größerer Breite gefunden und ausgenutzt.

Was bedeutet das für Sie?

• Schließen Sie bekannte Schwachstellen konsequent und zügig – automatisierte Angriffe finden ungepatchte, aus dem Internet erreichbare Dienste besonders schnell.
• Verschaffen Sie sich einen Überblick, welche Ihrer Dienste überhaupt aus dem Internet erreichbar sind, und schalten Sie alles Nicht-Benötigte ab.
• Setzen Sie auf Grundschutz, der auch bei schnellen Angriffen wirkt: aktuelle Software, Netz-Segmentierung, Überwachung und getrennt gelagerte Backups.

⚡ Quick News der Woche

• SAP Commerce Cloud mit Höchstwert-Lücke: Eine Schwachstelle im SAP-Shopsystem Commerce Cloud (CVE-2026-58231, Bedrohungswert 10 von 10) wird bereits ausgenutzt – erste Angriffe gab es nur drei Tage nach dem Patch vom 11. August. Betreiber sollten sofort aktualisieren.
• KI-Phishing-Welle auf deutsche Banken: Verbraucherzentrale und BSI warnen vor täuschend echten Fälschungen im Namen von Deutscher Bank, Volksbanken Raiffeisenbanken und N26. Zunehmend im Umlauf ist auch „Quishing“ – manipulierte QR-Codes an Parkautomaten und Ladesäulen. Nie über Links oder fremde QR-Codes anmelden.
• Cisco-Firewall aktiv angegriffen: Eine Lücke in Ciscos Firewall-Management (CVE-2026-20316) wurde von der CISA als aktiv ausgenutzt eingestuft. Verfügbare Updates zeitnah einspielen und Verwaltungszugänge vom Internet trennen.
• Neue Microsoft-Lücken im CISA-Katalog: Die CISA hat am 18. August unter anderem eine SharePoint-Schwachstelle (CVE-2026-55040) und eine Lücke im Windows-IKE-Dienst (CVE-2026-33824) als aktiv ausgenutzt aufgenommen. Wer die August-Updates noch nicht eingespielt hat, sollte das nachholen.
• TrueConf-Videoserver angreifbar: Für den Videokonferenz-Server TrueConf werden zwei aktiv ausgenutzte Lücken (CVE-2026-72529 und -72530) gemeldet. Betroffene Betreiber sollten die Verwaltung absichern und Updates einspielen.

💡 Fazit & Empfehlung

Diese Woche macht deutlich: Bekannte Lücken werden immer schneller ausgenutzt – oft binnen weniger Tage, zunehmend automatisiert. Achten Sie auf drei Stellschrauben:

✓ Internet-erreichbare Systeme zuerst patchen: VMware vCenter, SAP Commerce Cloud und Cisco-Firewalls gehören diese Woche ganz nach oben auf die Update-Liste.

✓ Fernzugriff konsequent abschotten: Verwaltungsoberflächen und Fernwartung (auch die macOS-Bildschirmfreigabe) niemals offen ins Internet stellen – lieber über VPN und eigene Netzsegmente absichern.

✓ Wachsam bei KI-Phishing und Quishing bleiben: Keine Anmeldungen über Links oder fremde QR-Codes, Team schulen und einen klaren Meldeweg für verdächtige Nachrichten einrichten.

Sprechen Sie uns an – wir prüfen gemeinsam, welche Ihrer Systeme betroffen sein könnten, und bringen Ihre IT auf einen sicheren Stand. Ihr Team von IT Navigator.

📚 Quellen

• The Hacker News / SecurityWeek / Quirso: VMware-vCenter-Zero-Day CVE-2026-59310 (Bedrohungswert 9,8), rund 361 Systeme in 47 Ländern, Babuk-Ransomware auf ESXi
• CISA (Known Exploited Vulnerabilities, 18.08.2026) / Qualys ThreatPROTECT / Malwarebytes / Tom’s Hardware: macOS-Screen-Sharing-Lücke CVE-2026-65400, aktiv ausgenutzt, Monero-Miner
• Palo Alto Networks Unit 42 / Help Net Security / Cybersecurity Dive: autonomer KI-Angriff mit DeepSeek und „Hermes Agent“, über 460 Ziele
• The Hacker News / BleepingComputer / eSecurity Planet: SAP Commerce Cloud CVE-2026-58231 (Bedrohungswert 10) aktiv ausgenutzt
• Verbraucherzentrale / BSI / heise online / CISA: KI-Phishing und Quishing (Deutsche Bank, Volksbanken, N26), Cisco CVE-2026-20316, Microsoft CVE-2026-55040/-33824, TrueConf CVE-2026-72529/-72530

👉 Letzte Woche verpasst? Hier geht’s zum vorherigen Wochenrückblick: Wochenrückblick KW 33/2026.

© IT Navigator · Wochenrückblick KW 34/2026 · Stand: 21.08.2026