CISA добавила в KEV уязвимость VMware ESX, скрывавшую аудит
CISA добавило уязвимость CVE-2026-41709 в каталог Known Exploited Vulnerabilities после того, как CrowdStrike сообщила о её использовании группировкой Warp Panda, связанной с Китаем. Недостаток затрагивает Broadcom VMware ESX, имеет оценку CVSS 2,7 и при наличии административного доступа позволяет выполнять определённые операции без фиксации в журналах аудита.
По данным CrowdStrike, Warp Panda эксплуатировала дефект как уязвимость нулевого дня в начале 2026 года при атаках на юридический сектор США. Целью было снизить видимость следов действий в системах аудита. CISA рекомендовало федеральным гражданским ведомствам США устранить проблему до 11 ноября 2026 года.
Какие продукты получили исправления
Broadcom раскрыло исправление в июле 2026 года. Обновления включены в VMware Cloud Foundation SXi 9.1.0.0-25370933 и ESXi 9.0.2.0100-25595025, VMware vSphere Foundation SXi 9.1.0.0-25370933 и ESXi 9.0.2.0100-25595025.
Также исправлены VMware ESX ESXi80U3j-25429389, VMware Cloud Foundation 5.2.4 и VMware Telco Cloud Platform ESXi80U3j-25429389. Организациям следует сопоставить эти версии со своими развертываниями и установить доступные обновления в рамках принятого процесса управления изменениями.
Как действовала Warp Panda
CrowdStrike отслеживает группу также под именами Armory Castle, Clay Typhoon и VerdantBamboo. В отчёте говорится, что она использует уязвимости нулевого дня и собственные вредоносные программы на доступных из интернета периферийных устройствах, чтобы сохранять скрытый и устойчивый доступ.
После первоначального проникновения злоумышленники переходили к средам VMware vCenter и развёртывали вредоносные программы BRICKSTORM и SharpStorm для закрепления. В отдельных случаях группа нацеливалась на облачные сервисы, извлекала пользовательские токены сессий для доступа к Microsoft 365 и регистрировала новое устройство многофакторной аутентификации в скомпрометированной учётной записи.
Что проверить командам ИБ
Низкая оценка CVSS в этом случае не отменяет риска: эксплуатация требовала административных прав, однако позволяла уменьшить объём доступных следов уже после получения такого доступа. Поэтому важно не ограничиваться проверкой патча, а сопоставлять действия привилегированных учётных записей с событиями в vCenter и журналами смежных систем.
Для бизнеса практический вывод состоит в том, чтобы инвентаризировать версии ESXi и связанных продуктов, установить опубликованные Broadcom исправления и отдельно проверить неожиданные MFA-устройства и активные облачные сессии. Такой контроль помогает выявлять закрепление, которое могло быть организовано без обычных сигналов из журналов аудита.