Китайская группировка использовала уязвимость VMware с оценкой 2,7, чтобы скрывать следы
Китайская группировка WARP PANDA использовала уязвимость VMware ESX с оценкой CVSS всего 2,7, чтобы скрывать действия администратора в журналах. CISA добавила её в каталог эксплуатируемых уязвимостей 28 октября.
28 октября: CrowdStrike сообщила в отчёте 2026 Legal Threat Landscape Report, что WARP PANDA использовала CVE-2026-41709 как zero-day в нескольких атаках на организации в США, включая юридический сектор. Эксплуатация продолжалась до начала 2026 года. Об этом пишет Rescana.1
Broadcom: описывает уязвимость как недостаточное логирование. Администратор может выполнять некоторые операции так, что они не попадают в журналы. Об этом пишет The Hacker News.2
Уязвимость не даёт первоначального доступа, нужны права администратора ESXi. Она помогает скрывать действия после компрометации. Это следует из описания SecurityWeek.3
По данным CrowdStrike, WARP PANDA обычно проникает через устройства на границе сети и переходит на VMware vCenter. В 2025 году она устанавливала там BrickStorm, TetanusStorm, SharpStorm, DualGauge и GuestConduit. В нескольких атаках группа использовала CVE-2026-41709, чтобы сильно ограничить видимость журналов аудита. Об этом пишет SecurityWeek.3 Как минимум в одном случае она зарегистрировала новое устройство MFA на взломанном аккаунте. Это отмечает The Hacker News.2
CISA: Агентство добавило уязвимость в каталог KEV 28 октября и потребовало от федеральных гражданских агентств исправить её до 11 ноября. Подробностей об эксплуатации CISA не привела. Об этом пишет SecurityWeek.3
Broadcom: Исправление компания выпустила его в июле 2026 года, до публикации CrowdStrike. Это следует из обзора The Hacker News.2
Индикаторы компрометации не опубликованы ни Broadcom, ни CISA, ни CrowdStrike в кратком изложении отчёта. Об этом пишет Rescana.1 SQ Magazine советует считать журналы хостов с неисправленным ESXi за период до патча неполными. Это отмечает SQ Magazine.4
Источники
Интересно обсудить?
