Grupo Warp Panda, ligado à China, explorou uma falha de registo no VMware ESX para apagar o rasto

Uma vulnerabilidade com uma pontuação CVSS de apenas 2,7 foi adicionada ao catálogo Known Exploited Vulnerabilities (KEV) da agência norte-americana CISA. A CVE-2026-41709 é uma fraqueza de registo insuficiente no hipervisor VMware ESX da Broadcom e, no papel, parece inofensiva. Na prática, um grupo de ciberespionagem ligado à China, conhecido como Warp Panda, utilizou-a como dia zero no início de 2026 para executar ações em hosts comprometidos sem deixar qualquer vestígio no registo de auditoria.

O que aconteceu

• A falha. A CVE-2026-41709 permite que um atacante que já detém acesso administrativo a um host ESX realize determinadas operações sem que estas fiquem registadas. Por si só não concede acesso, e é por isso que a pontuação CVSS é tão baixa.
• A correção. A Broadcom corrigiu o problema em julho de 2026. As versões corrigidas incluem ESXi 9.1.0.0-25370933 e ESXi 9.0.2.0100-25595025 para VMware Cloud Foundation e vSphere Foundation, ESXi80U3j-25429389 para VMware ESX e VMware Telco Cloud Platform, e VMware Cloud Foundation 5.2.4.
• A exploração. O Warp Panda tirou partido da falha meses antes de a correção existir, em intrusões dirigidas ao setor jurídico dos Estados Unidos. O objetivo era simples: reduzir a visibilidade do rasto de auditoria para que os defensores não vissem o que os intrusos faziam no hipervisor.
• O prazo. As agências civis federais dos Estados Unidos têm de aplicar a correção até 11 de novembro de 2026. As organizações privadas devem encarar essa data como uma referência razoável para o seu próprio processo de atualização.

Quem está por trás

O Warp Panda é um ator de ciberespionagem com ligações à China cuja atividade se sobrepõe à que é seguida sob os nomes Armory Castle (anteriormente UNC5221), Clay Typhoon e VerdantBamboo. O grupo tem um longo historial de exploração de dias zero contra dispositivos de perímetro expostos à internet, incluindo Citrix NetScaler e Ivanti Connect Secure. No início deste mês foi também associado a ataques de dia zero contra uma falha crítica de validação de origem no BeyondTrust Remote Support (CVE-2026-102764, CVSS 9,3), usada para distribuir as famílias de malware SAWFLY e BARECLAW.

O modo de atuação é consistente. O grupo compromete um equipamento de perímetro, pivota para o VMware vCenter e instala backdoors personalizados como BRICKSTORM e SharpStorm para manter um acesso discreto e prolongado. Em alguns casos estende a intrusão à nuvem: tokens de sessão roubados dão-lhe acesso ao Microsoft 365 sem desencadear alertas baseados em credenciais e, em pelo menos um caso, os atacantes registaram o seu próprio dispositivo de autenticação multifator numa conta comprometida, para que o acesso sobrevivesse a uma mudança de palavra-passe.

Porque é que isto importa

• CVSS baixo não significa risco baixo. Esta falha é uma ferramenta antiforense. O seu valor está em combiná-la com o acesso que o atacante já tem e, nesse contexto, pode fazer a diferença entre uma intrusão detetada e uma que dura meses.
• O hipervisor está abaixo das suas ferramentas de endpoint. Os agentes EDR dentro das máquinas virtuais não veem o que acontece no host ESX. Se o registo de auditoria nessa camada não for fiável, toda uma camada da infraestrutura torna-se um ponto cego.
• As sociedades de advogados são um alvo deliberado. Comunicações com clientes, materiais de fusões e aquisições, estratégia de litigância e acesso simultâneo a muitos clientes tornam as redes do setor jurídico um alvo de recolha muito valioso para um adversário dirigido por um Estado.
• A persistência na identidade faz parte do kit. Registos MFA fraudulentos e roubo de tokens significam que uma simples reposição de palavra-passe não expulsará este ator.

O que fazer

1. Atualize já. Atualize o ESX, o VMware Cloud Foundation, o vSphere Foundation e o Telco Cloud Platform para as versões corrigidas indicadas acima, independentemente da baixa pontuação de gravidade.
2. Reforce a administração do hipervisor. Reveja quem tem direitos de administrador no ESX e no vCenter, remova contas obsoletas, exija MFA no acesso de gestão e mantenha as interfaces de administração fora da internet pública.
3. Torne o registo à prova de manipulação. Encaminhe os registos do ESX e do vCenter para um coletor central em tempo real e gere alertas para falhas ou silêncio de um host, não apenas para eventos suspeitos.
4. Procure persistência. Procure indicadores de BRICKSTORM e SharpStorm no vCenter e verifique dispositivos de perímetro como NetScaler, Ivanti Connect Secure e BeyondTrust Remote Support quanto a correções em falta e sinais de manipulação.
5. Verifique a camada de identidade na nuvem. Audite os registos recentes de dispositivos MFA no Microsoft 365, revogue sessões suspeitas e investigue a utilização de tokens a partir de localizações desconhecidas.

Falhas como esta são fáceis de ignorar porque o número ao lado delas é pequeno. Os atacantes que importam leem a lista KEV, não apenas a pontuação CVSS. O serviço de análise de vulnerabilidades da 4tify assinala as CVE incluídas no catálogo KEV e as interfaces de gestão expostas em toda a sua infraestrutura, para que uma falha com pontuação baixa mas ativamente explorada seja detetada e priorizada antes que outra pessoa a encontre por si.