Grupul Warp Panda, legat de China, a exploatat o vulnerabilitate de logging în VMware ESX pentru a-și ascunde urmele

O vulnerabilitate cu un scor CVSS de doar 2,7 a fost adăugată în catalogul Known Exploited Vulnerabilities (KEV) al agenției americane CISA. CVE-2026-41709 este o slăbiciune de logging insuficient în hipervizorul VMware ESX de la Broadcom și, pe hârtie, pare inofensivă. În realitate, un grup de spionaj cibernetic legat de China, cunoscut sub numele Warp Panda, a folosit-o ca zero-day la începutul lui 2026 pentru a executa acțiuni pe gazdele compromise fără a lăsa nicio urmă în jurnalul de audit.

Ce s-a întâmplat

• Vulnerabilitatea. CVE-2026-41709 permite unui atacator care are deja drepturi de administrator pe o gazdă ESX să efectueze anumite operațiuni fără ca acestea să fie înregistrate. Nu oferă acces de una singură, de aceea scorul CVSS este atât de mic.
• Remedierea. Broadcom a corectat problema în iulie 2026. Versiunile reparate includ ESXi 9.1.0.0-25370933 și ESXi 9.0.2.0100-25595025 pentru VMware Cloud Foundation și vSphere Foundation, ESXi80U3j-25429389 pentru VMware ESX și VMware Telco Cloud Platform, precum și VMware Cloud Foundation 5.2.4.
• Exploatarea. Warp Panda a folosit vulnerabilitatea cu luni înainte de apariția patch-ului, în intruziuni îndreptate împotriva sectorului juridic din SUA. Scopul declarat era simplu: reducerea vizibilității pistei de audit, astfel încât apărătorii să nu vadă ce au făcut intrușii pe hipervizor.
• Termenul. Agențiile federale civile din SUA trebuie să aplice remedierea până pe 11 noiembrie 2026. Organizațiile private ar trebui să trateze această dată ca un reper rezonabil pentru propriul proces de patching.

Cine se află în spatele atacurilor

Warp Panda este un actor de spionaj cibernetic cu legături în China, a cărui activitate se suprapune cu cea urmărită sub numele Armory Castle (fost UNC5221), Clay Typhoon și VerdantBamboo. Grupul are un istoric lung de exploatare zero-day a dispozitivelor de perimetru expuse în internet, inclusiv Citrix NetScaler și Ivanti Connect Secure. La începutul acestei luni a fost asociat și cu atacuri zero-day asupra unei vulnerabilități critice de validare a originii în BeyondTrust Remote Support (CVE-2026-102764, CVSS 9,3), folosită pentru a livra familiile de malware SAWFLY și BARECLAW.

Modul de operare este consecvent. Grupul compromite un echipament de perimetru, pivotează în VMware vCenter și instalează backdoor-uri personalizate precum BRICKSTORM și SharpStorm pentru a păstra un acces discret pe termen lung. În unele cazuri, intruziunea se extinde în cloud: token-urile de sesiune furate oferă acces la Microsoft 365 fără a declanșa alerte bazate pe credențiale, iar în cel puțin un caz atacatorii și-au înregistrat propriul dispozitiv de autentificare multifactor pe un cont compromis, astfel încât accesul să supraviețuiască unei schimbări de parolă.

De ce contează

• Un CVSS mic nu înseamnă risc mic. Această vulnerabilitate este un instrument anti-forensic. Valoarea ei stă în combinarea cu accesul pe care atacatorul îl are deja, iar în acest context poate face diferența dintre o intruziune detectată și una care durează luni de zile.
• Hipervizorul este sub nivelul uneltelor de endpoint. Agenții EDR din mașinile virtuale nu văd ce se întâmplă pe gazda ESX. Dacă logging-ul de audit la acest nivel nu este de încredere, un întreg strat al infrastructurii devine o zonă oarbă.
• Firmele de avocatură sunt o țintă deliberată. Comunicările cu clienții, materialele de fuziuni și achiziții, strategiile de litigiu și accesul simultan la mulți clienți fac din rețelele sectorului juridic o țintă bogată pentru un adversar statal.
• Persistența pe identitate face parte din trusă. Înregistrările MFA frauduloase și furtul de token-uri înseamnă că o simplă resetare a parolei nu va elimina acest actor.

Ce este de făcut

1. Aplicați patch-urile acum. Actualizați ESX, VMware Cloud Foundation, vSphere Foundation și Telco Cloud Platform la versiunile reparate de mai sus, indiferent de scorul de severitate scăzut.
2. Securizați administrarea hipervizorului. Verificați cine are drepturi de administrator pe ESX și vCenter, eliminați conturile inactive, impuneți MFA pe accesul de management și țineți interfețele de administrare departe de internetul public.
3. Faceți logging-ul rezistent la manipulare. Trimiteți jurnalele ESX și vCenter către un colector central în timp real și alertați la lipsuri sau tăcere din partea unei gazde, nu doar la evenimente suspecte.
4. Căutați persistența. Verificați indicatorii BRICKSTORM și SharpStorm în vCenter și inspectați echipamentele de perimetru precum NetScaler, Ivanti Connect Secure și BeyondTrust Remote Support pentru patch-uri lipsă și semne de manipulare.
5. Verificați stratul de identitate din cloud. Auditați înregistrările recente de dispozitive MFA în Microsoft 365, revocați sesiunile suspecte și investigați utilizarea token-urilor din locații necunoscute.

Vulnerabilități ca aceasta sunt ușor de ignorat pentru că numărul de lângă ele este mic. Atacatorii care contează citesc lista KEV, nu doar scorul CVSS. Serviciul de scanare de vulnerabilități 4tify semnalează CVE-urile din catalogul KEV și interfețele de management expuse din întreaga infrastructură, astfel încât o vulnerabilitate cu scor mic, dar exploatată activ, să fie scoasă la lumină și prioritizată înainte să o găsească altcineva în locul dumneavoastră.