Американската Агенция за киберсигурност и сигурност на инфраструктурата (CISA) в сряда добави слабост в сигурността, засягаща Broadcom VMware ESX, към своя каталог с известни експлоатирани уязвимости (KEV), след като CrowdStrike разкри, че тя е била използвана за атаки от свързания с Китай злонамерен субект, известен като Warp Panda, при нападения, насочени срещу правния сектор в САЩ.

Въпросната уязвимост е CVE-2026-41709 (CVSS оценка: 2.7) – уязвимост, свързана с недостатъчно водене на дневници за сигурност, която би могла да позволи на атакуващ с администраторски достъп да извършва определени операции, без те да бъдат записвани в логовете.

В бюлетин, публикуван през юли 2026 г., Broadcom разкри, че проблемът е отстранен в следните версии –

  • VMware Cloud Foundation SXi-9.1.0.0-25370933 и ESXi-9.0.2.0100-25595025
  • VMware vSphere Foundation SXi-9.1.0.0-25370933 и ESXi-9.0.2.0100-25595025
  • VMware ESX ESXi80U3j-25429389
  • VMware Cloud Foundation 5.2.4
  • VMware Telco Cloud Platform ESXi80U3j-25429389

Това развитие идва в отговор на доклада на CrowdStrike за заплахите в правния сектор за 2026 г. (2026 Legal Threat Landscape Report), който разкри, че Warp Panda е експлоатирал CVE-2026-41709 като уязвимост от тип нулев ден в началото на 2026 г. с цел да намали видимостта в одитните записи.

Warp Panda „експлоатира периферни устройства, свързани с интернет, използвайки zero-day уязвимости и персонализиран зловреден код, за да поддържа прикрит и постоянен достъп“, се посочва в доклада, споделен с The Hacker News, като се добавя, че противникът „активно заобикаля засичането чрез пренебрегване на одитните записи, извличане на сесийни токени за облачни услуги и регистриране на компрометирани устройства за многофакторна автентикация (MFA)“.

Атакуващият, проследяван също под имената Armory Castle (преди това UNC5221), Clay Typhoon и VerdantBamboo, има богата история на използване на zero-day уязвимости в устройства Citrix NetScaler и Ivanti Connect Secure.

По-рано този месец притежаваната от Google компания Mandiant също свърза хакерската група с експлоатацията на критична уязвимост от тип нулев ден за неправилна валидация на произхода в BeyondTrust Remote Support (CVE-2026-102764, CVSS оценка: 9.3) за разпространение на семейства зловреден код като SAWFLY и BARECLAW.

Атаките, организирани от Warp Panda, включват експлоатация на периферни устройства, свързани с интернет, за получаване на първоначален достъп, след което злонамереният субект се пренасочва към VMware vCenter среди за внедряване на персонализиран зловреден код като BRICKSTORM и SharpStorm, за да поддържа постоянен достъп, без да привлича внимание.

Определени прониквания включват и таргетиране на облачни услуги с цел извличане на потребителски сесийни токени за достъп до среди на Microsoft 365, без да се задействат предупреждения, базирани на автентикация. В поне един случай се посочва, че Warp Panda е регистрирал ново MFA устройство към компрометиран акаунт като начин за осигуряване на постоянен достъп, дори ако паролата бъде променена.

„Warp Panda представлява продължителна и стратегически фокусирана кибершпионажна заплаха, свързана с Китай, за американски организации в множество сектори, включително правния сектор“, заявиха от CrowdStrike.

„Концентрацията на комуникация с клиенти, материали за сливания и придобивания, стратегия за активни съдебни спорове и достъп до множество клиенти превръща правния сектор в ценна цел за събиране на данни от подкрепян от държава противник, търсещ разузнавателна информация с висока оперативна стойност.“

С оглед на активната експлоатация на CVE-2026-41709, на агенциите от Федералната гражданска изпълнителна власт (FCEB) на САЩ се препоръчва да инсталират корекциите за сигурност до 11 ноември 2026 г.