El grupo Warp Panda, vinculado a China, explotó un fallo de registro en VMware ESX para borrar sus huellas

Una vulnerabilidad con una puntuación CVSS de apenas 2,7 ha sido añadida al catálogo Known Exploited Vulnerabilities (KEV) de la agencia estadounidense CISA. CVE-2026-41709 es una debilidad de registro insuficiente en el hipervisor VMware ESX de Broadcom y, sobre el papel, parece inofensiva. En la práctica, un grupo de ciberespionaje vinculado a China conocido como Warp Panda la utilizó como día cero a principios de 2026 para ejecutar acciones en hosts comprometidos sin dejar rastro en el registro de auditoría.

Qué ocurrió

• El fallo. CVE-2026-41709 permite a un atacante que ya dispone de acceso administrativo a un host ESX realizar ciertas operaciones sin que queden registradas. Por sí solo no concede acceso, y por eso la puntuación CVSS es tan baja.
• La corrección. Broadcom corrigió el problema en julio de 2026. Las compilaciones corregidas incluyen ESXi 9.1.0.0-25370933 y ESXi 9.0.2.0100-25595025 para VMware Cloud Foundation y vSphere Foundation, ESXi80U3j-25429389 para VMware ESX y VMware Telco Cloud Platform, y VMware Cloud Foundation 5.2.4.
• La explotación. Warp Panda aprovechó el fallo meses antes de que existiera el parche, en intrusiones dirigidas al sector legal de Estados Unidos. El objetivo era sencillo: reducir la visibilidad del rastro de auditoría para que los defensores no vieran lo que los intrusos hacían en el hipervisor.
• El plazo. Las agencias civiles federales de Estados Unidos deben aplicar la corrección antes del 11 de noviembre de 2026. Las organizaciones privadas deberían tomar esa fecha como una referencia razonable para su propio proceso de parcheo.

Quién está detrás

Warp Panda es un actor de ciberespionaje con nexos en China cuya actividad se solapa con la rastreada bajo los nombres Armory Castle (antes UNC5221), Clay Typhoon y VerdantBamboo. El grupo tiene un largo historial de explotación de días cero contra dispositivos de borde expuestos a internet, como Citrix NetScaler e Ivanti Connect Secure. A principios de este mes también se le vinculó con ataques de día cero contra un fallo crítico de validación de origen en BeyondTrust Remote Support (CVE-2026-102764, CVSS 9,3), utilizado para distribuir las familias de malware SAWFLY y BARECLAW.

El manual es consistente. El grupo compromete un dispositivo de borde, pivota hacia VMware vCenter e instala puertas traseras a medida como BRICKSTORM y SharpStorm para mantener un acceso silencioso y prolongado. En algunos casos extiende la intrusión a la nube: los tokens de sesión robados le dan acceso a Microsoft 365 sin activar alertas basadas en credenciales, y en al menos un caso los atacantes registraron su propio dispositivo de autenticación multifactor en una cuenta comprometida para que el acceso sobreviviera a un cambio de contraseña.

Por qué importa

• Un CVSS bajo no significa riesgo bajo. Este fallo es una herramienta antiforense. Su valor está en combinarlo con el acceso que el atacante ya tiene, y en ese contexto puede marcar la diferencia entre una intrusión detectada y una que dura meses.
• El hipervisor está por debajo de sus herramientas de endpoint. Los agentes EDR dentro de las máquinas virtuales no ven lo que ocurre en el host ESX. Si el registro de auditoría en esa capa no es fiable, todo un nivel de la infraestructura se convierte en un punto ciego.
• Los despachos de abogados son un objetivo deliberado. Las comunicaciones con clientes, los materiales de fusiones y adquisiciones, la estrategia de litigios y el acceso simultáneo a muchos clientes convierten a las redes del sector legal en un objetivo muy valioso para un adversario dirigido por un Estado.
• La persistencia en la identidad forma parte del kit. Los registros MFA fraudulentos y el robo de tokens implican que un simple cambio de contraseña no expulsará a este actor.

Qué hacer

1. Aplique los parches ya. Actualice ESX, VMware Cloud Foundation, vSphere Foundation y Telco Cloud Platform a las compilaciones corregidas indicadas arriba, independientemente de la baja puntuación de severidad.
2. Refuerce la administración del hipervisor. Revise quién tiene derechos de administrador en ESX y vCenter, elimine cuentas obsoletas, exija MFA en el acceso de gestión y mantenga las interfaces de administración fuera de internet.
3. Haga que el registro sea a prueba de manipulación. Envíe los registros de ESX y vCenter a un recolector central en tiempo real y genere alertas ante huecos o silencio de un host, no solo ante eventos sospechosos.
4. Busque persistencia. Busque indicadores de BRICKSTORM y SharpStorm en vCenter, y revise dispositivos de borde como NetScaler, Ivanti Connect Secure y BeyondTrust Remote Support en busca de parches pendientes y señales de manipulación.
5. Revise la capa de identidad en la nube. Audite los registros recientes de dispositivos MFA en Microsoft 365, revoque sesiones sospechosas e investigue el uso de tokens desde ubicaciones desconocidas.

Fallos como este son fáciles de descartar porque el número que los acompaña es pequeño. Los atacantes que importan leen la lista KEV, no solo la puntuación CVSS. El servicio de escaneo de vulnerabilidades de 4tify señala los CVE incluidos en el catálogo KEV y las interfaces de gestión expuestas en toda su infraestructura, de modo que un fallo con puntuación baja pero explotado activamente salga a la luz y se priorice antes de que otro lo encuentre por usted.