Alacsony súlyosságú ESXi-hibával rejtette el nyomait a Warp Panda
Rendszergazdai hozzáféréssel egyes műveleteket naplóbejegyzés nélkül végezhettek el a támadók a VMware ESXi egyik hibája miatt. A CrowdStrike szerint a Kínához köthető Warp Panda korábban ismeretlen sebezhetőségként használta ki a rést amerikai szervezeteknél. A CISA már felvette a ténylegesen kihasznált hibák listájára.
A 2,7-es pontszám mellett is bizonyított a kihasználás
A CVE-2026-41709 azonosítójú VMware ESXi-hiba alacsony súlyosságú besorolást és 2,7-es CVSS-pontszámot kapott. A CVSS a sebezhetőség műszaki súlyosságát jelzi, nem azt, hogy visszaélnek-e vele.
A hiányos naplózás kihasználásához már rendszergazdai hozzáférés szükséges. Ennek birtokában azonban bizonyos műveletek úgy hajthatók végre, hogy nem kerülnek be a naplóba. A CrowdStrike szerint a Warp Panda több behatolás során jelentősen csökkentette ezzel a tevékenysége visszakövethetőségét, és még 2026 elején is alkalmazta ezt a módszert.
A kutatók nulladik napi támadásról számoltak be: ez olyan támadást jelent, amely korábban ismeretlen sebezhetőséget használ ki.
Internetes peremeszközöktől jutottak el a vCenter környezetéig
A CrowdStrike beszámolója amerikai szervezeteket, köztük ügyvédi irodákat érintő behatolásokat ismertet. A Warp Panda jellemzően internet felől elérhető hálózati peremeszközökön keresztül szerzett kezdeti hozzáférést, majd a VMware vCenter felé haladt tovább.
A csoport 2025 folyamán többféle kártevőt telepített ezekben a környezetekben. A felsorolt eszközök között szerepelt a BrickStorm, a TetanusStorm, a SharpStorm, a DualGauge és a GuestConduit. A naplózási rést több ilyen támadásban is felhasználták.
A CISA a megfigyelt kihasználás részleteit nem ismertette; a támadókhoz és a behatolások menetéhez kapcsolódó információk a CrowdStrike beszámolójából származnak.
Ezek az ESXi-kiadások már tartalmazzák a javítást
A július 29-én nyilvánosságra hozott naplózási hibához már elérhető javítás. Ezt az ESXi-9.1.0.0-25370933, az ESXi-9.0.2.0100-25595025 és az ESXi80U3j-25429389 kiadás, valamint az ezeknél újabb verziók tartalmazzák.
Ugyanazon a napon más VMware-termékekhez kapcsolódó biztonsági közlések is megjelentek. Az azokban szereplő CVE-2026-59309 és CVE-2026-59310 sebezhetőséget szintén kihasználták. Utóbbival kapcsolatban a Quirso augusztus közepén körülbelül 360, weben elérhető VMware vCenter-kiszolgáló kompromittálásáról számolt be. Később ezt a tevékenységet is Kínához köthető támadókhoz kapcsolta.
A november 11-i határidő az amerikai szövetségi szerveké
A CISA 2026. október 28-án vette fel a CVE-2026-41709 hibát a bizonyítottan kihasznált sebezhetőségeket gyűjtő KEV-katalógusba. A javítás előírt határideje 2026. november 11., ez az amerikai szövetségi szervekre vonatkozik.
Az előírás a gyártó utasításainak megfelelő védekezést kéri, a CISA kockázatalapú javítási és incidensvizsgálati követelményeivel összhangban. Külön kitér az egyes eszközök internetes kitettségének felmérésére is. Ha nincs elérhető kockázatcsökkentő megoldás, a termék használatának megszüntetését írja elő.
A cikk mesterséges intelligencia segítségével készült; a szerkesztőség ellenőrizte és jóváhagyta. Impresszum