CISA upozorava na aktivnu zloupotrebu VMware ESX propusta
CISA je ranjivost CVE-2026-41709 u Broadcom VMware ESX uvrstila u katalog Known Exploited Vulnerabilities, nakon nalaza kompanije CrowdStrike da ju je grupa Warp Panda koristila kao zero-day napad početkom 2026. Propust nosi CVSS ocenu 2,7 i omogućava napadaču sa administratorskim pristupom da pojedine operacije obavi bez evidentiranja u dnevnicima.
Problem je naročito značajan zato što se odnosi na vidljivost aktivnosti u virtualizacionom sloju. CrowdStrike je eksploataciju povezao sa napadima na američki pravni sektor, gde je cilj bio smanjenje revizijskog traga, a ne nužno neposredno izvršavanje koda ili pribavljanje početnog pristupa.
Administratorski pristup bez potpunog traga
Broadcom je u julu 2026. objavio zakrpe za VMware Cloud Foundation SXi-9.1.0.0-25370933 i ESXi-9.0.2.0100-25595025, VMware vSphere Foundation SXi-9.1.0.0-25370933 i ESXi-9.0.2.0100-25595025, VMware ESX ESXi80U3j-25429389, VMware Cloud Foundation 5.2.4 i VMware Telco Cloud Platform ESXi80U3j-25429389.
CISA preporučuje saveznim civilnim izvršnim agencijama SAD da primene ispravke do 11. novembra 2026. Uvrštavanje u KEV katalog potvrđuje da se ranjivost ne posmatra samo kao teorijski rizik, već kao propust koji je već iskorišćen u napadima.
Širi obrazac aktivnosti grupe Warp Panda
Warp Panda je poznata i pod imenima Armory Castle, nekadašnji UNC5221, Clay Typhoon i VerdantBamboo. CrowdStrike navodi da grupa koristi zero-day ranjivosti i prilagođeni malver za tih i dugotrajan pristup, uz zaobilaženje evidencije, prikupljanje tokena cloud sesija i registrovanje neovlašćenih MFA uređaja.
Opisani napadi počinju iskorišćavanjem javno izloženih mrežnih uređaja radi početnog pristupa. Akteri zatim prelaze na VMware vCenter okruženja, gde koriste malver BRICKSTORM i SharpStorm za održavanje prisustva. U pojedinim upadima ciljane su i cloud usluge radi preuzimanja korisničkih tokena za pristup Microsoft 365 okruženjima bez upozorenja zasnovanih na kredencijalima.
U najmanje jednom slučaju napadači su na kompromitovanom nalogu registrovali novi MFA uređaj, čime su zadržali pristup i nakon eventualne promene lozinke. To pokazuje da provera lozinki sama po sebi nije dovoljna za procenu posledica kompromitacije identiteta.
Praktični prioriteti za organizacije
Organizacije koje koriste navedene verzije treba da utvrde stanje zakrpa, posebno na ESXi hostovima i povezanim vCenter okruženjima. Jednako je važno pregledati administratorske radnje, aktivne sesije, registrovane MFA uređaje i cloud tokene, jer je svrha zloupotrebe upravo umanjenje pouzdanosti lokalnih zapisa.
Poslovni prioritet je povezati upravljanje zakrpama virtualizacije sa kontrolom privilegovanog pristupa i nezavisnim nadzorom logova. Tako se rizik od neprimećenih promena u infrastrukturi procenjuje šire od same CVSS ocene pojedinačne ranjivosti.