'16.000 VMware ESXi-servers missen update voor kritiek beveiligingslek'
Ruim 16.000 VMware ESXi-servers, waarvan meer dan 600 in Nederland, missen een beveiligingsupdate voor een kritieke kwetsbaarheid. Dat laat The Shadowserver Foundation op basis van een online scan weten. Patches voor het beveiligingslek (CVE-2025-41236) zijn sinds 15 juli beschikbaar. De kwetsbaarheid maakt het mogelijk voor een aanvaller met adminrechten op een lokale virtual machine (VM) om code op de onderliggende host uit te voeren. De VM moet wel gebruikmaken van een VMXNET3 virtual network adapter. De impact van het lek is op een schaal van 1 tot en met 10 beoordeeld met een 9.3.
ESXi, onderdeel van VMware's vSphere, is een 'bare metal hypervisor' voor het virtualiseren van besturingssystemen. De virtualisatiesoftware wordt direct op een server geïnstalleerd en kan vervolgens het gevirtualiseerde besturingssysteem laden. CVE-2025-41236 werd op 16 mei door beveiligingsonderzoekers gedemonstreerd tijdens de Pwn2Own-wedstrijd in Berlijn. Tijdens het evenement worden onderzoekers beloond voor het demonstreren van onbekende kwetsbaarheden in veelgebruikte applicaties.
Details over gedemonstreerde beveiligingslekken worden vervolgens met de betreffende leverancier gedeeld, zodat die updates kan ontwikkelen. VMware kwam zoals gezegd op 15 juli met de patch voor CVE-2025-41236. Een aanvaller die het lek misbruikt en zo toegang tot het host-systeem krijgt zou verdere aanvallen kunnen uitvoeren, bijvoorbeeld tegen andere virtual machines op het systeem.
The Shadowserver Foundation is een stichting die onder andere onderzoek doet naar kwetsbare systemen op internet. Bij de laatste scan werd gekeken naar VMware ESXi-servers die de update voor CVE-2025-41236 missen. Dit leverde bij de eerste scan 17.200 servers op, maar is inmiddels gedaald naar 16.400. Daarvan bevinden zich er 629 in Nederland. De meeste kwetsbare servers werden in Frankrijk, China, de Verenigde Staten en Duitsland geteld. Volgens The Shadowserver Foundation is er sprake van een "slow patch rate". Organisaties worden dan ook opgeroepen de update te installeren mocht dat nog niet zijn gedaan.
Hierdoor wordt VMware als uitgefaseerd gezien wordt de energie in de vervanger gestoken.
Hoe kan het in godsnaam zijn dat ESXi servers via 't Internet toegankelijk zijn...? Is er niet eens of andere wet die die debieliteit verbied ofzo?
Hoe kan het in godsnaam zijn dat ESXi servers via 't Internet toegankelijk zijn...? Is er niet eens of andere wet die die debieliteit verbied ofzo?
Het is niet de esxi host die direct aan internet hangt, maar de VM-guest.....
Hierdoor wordt VMware als uitgefaseerd gezien wordt de energie in de vervanger gestoken.
Als ik security officer was zou ik dat niet accepteren. Als medewerker zou ik het aangeven bij de security officer.
Veiligheid gaat voor.
Technisch gezien is dit een textbook VM escape: iemand met adminrechten in een virtuele machine kan via het lek de onderliggende host overnemen, en daarmee ook alle andere VMs op dezelfde server. Dat is een beetje alsof de conciërge van één appartement ineens de hele flat kan verkopen.
De “slow patch rate” waar Shadowserver het over heeft is zorgelijk, want hoe langer het raam openstaat, hoe meer nieuwsgierige bezoekers je kunt verwachten. Patches installeren is hier geen luxe, maar een branddeur dichttrekken terwijl de rookmelder al piept.
Ik kom uit deze informatie er niet met zekerheid uit wat er hier gemeten is. Aantal kwetsbare ESXI hosts? Aantal VM's dat op een kwetsbare ESXI host draait? En een VMXNET3 Adapter heeft?
We kunnen gokken en speculeren, maar het wordt uit de gepubliceerde informatie mij niet duidelijk.
Hierdoor wordt VMware als uitgefaseerd gezien wordt de energie in de vervanger gestoken.
Of worden de security updates alleen verstrekt als je een service/maintenancecontract nieuwe stijl hebt bij Broadcom?
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Cybersecurity Trainer / Full Stack Developer
Ben je toe aan een nieuwe job waarmee je het verschil maakt? Wil jij je security kennis graag delen en hands-on laten zien hoe cybersecurity in de praktijk echt werkt? Werk je net als wij graag samen met enthousiaste en gedreven collega's? Bij ons geen bureaucratie maar open communicatie en een werkomgeving gericht op samenwerking.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?