Агентство по кибербезопасности и защите инфраструктуры США (CISA) внесло уязвимость Broadcom VMware ESX CVE-2026-41709 в каталог Known Exploited Vulnerabilities (KEV). Ведомство сделало это в среду; календарная дата не указана. По данным CrowdStrike, в начале 2026 года уязвимость уже использовала группа Warp Panda, атакуя организации юридического сектора США.
Проблема связана с недостаточным журналированием. Злоумышленнику требуется административный доступ: получив его, он может выполнить определённые операции так, что они не попадут в журналы. Это затрудняет расследование и лишает защитников части аудиторского следа. Оценка уязвимости по CVSS — 2,7.
В перечне затронутых продуктов и версий данные приведены неполно. Для одной позиции указаны только номера «1.0.0-25370933 и ESXi-9.0.2.0100-25595025», без названия продукта. Для VMware vSphere Foundation приведена строка «SXi-9.1.0.0-25370933 и ESXi-9.0.2.0100-25595025» — именно с начальной буквой S. Для VMware ESX и VMware Telco Cloud Platform указан ESXi80U3j-25429389, для VMware Cloud Foundation — 5.2.4.
В отчёте CrowdStrike 2026 Legal Threat Landscape Report Warp Panda названа связанной с Китаем кибершпионской группой, представляющей длительную и целенаправленную угрозу для организаций США в разных отраслях. У неё есть и другие названия: Armory Castle, UNC5221 — прежнее обозначение группы, — Clay Typhoon и VerdantBamboo.
По описанию CrowdStrike, Warp Panda начинает атаки с интернет-доступных пограничных устройств, используя уязвимости нулевого дня и собственное вредоносное ПО для скрытого, устойчивого доступа. Затем группа может перейти в среду VMware vCenter и развернуть инструменты для закрепления. Среди упомянутых семейств вредоносных программ — BRICKSTORM и SharpStorm. Группа также обходила аудит, похищала облачные токены сессий и регистрировала несанкционированные устройства многофакторной аутентификации (MFA).
В отдельных случаях злоумышленники извлекали токены пользовательских сессий из облачных сервисов, чтобы получать доступ к Microsoft 365 без срабатывания оповещений, связанных с учётными данными. По меньшей мере в одном эпизоде Warp Panda добавила новое MFA-устройство к скомпрометированной учётной записи. Такой доступ мог сохраниться даже после смены пароля.
У группы есть история эксплуатации уязвимостей нулевого дня в Citrix NetScaler и Ivanti Connect Secure. Ранее в том же месяце Google-owned Mandiant связала её с использованием другой уязвимости: CVE-2026-102764 в BeyondTrust Remote Support. Это критический дефект проверки происхождения запроса (improper origin validation) с оценкой CVSS 9,3. По данным Mandiant, для доставки вредоносных программ применялись SAWFLY и BARECLAW; точные месяц и дата атрибуции не названы.
Юридические фирмы интересуют шпионов из-за хранящихся там переписок с клиентами, материалов о слияниях и поглощениях, стратегий по текущим судебным делам и доступа к данным разных клиентов. CrowdStrike считает, что такие сведения могут дать государственному противнику разведданные с практической ценностью для дальнейших операций.
Для федеральных ведомств исполнительной власти США (FCEB) рекомендованный срок установки исправлений — 11 ноября 2026 года. Это особенно существенно для организаций, где административный доступ уже мог быть скомпрометирован: устранение уязвимости закрывает путь к незаметным операциям, но само по себе не подтверждает, что прежний доступ злоумышленников прекращён.
Изображение носит иллюстративный характер
Проблема связана с недостаточным журналированием. Злоумышленнику требуется административный доступ: получив его, он может выполнить определённые операции так, что они не попадут в журналы. Это затрудняет расследование и лишает защитников части аудиторского следа. Оценка уязвимости по CVSS — 2,7.
В перечне затронутых продуктов и версий данные приведены неполно. Для одной позиции указаны только номера «1.0.0-25370933 и ESXi-9.0.2.0100-25595025», без названия продукта. Для VMware vSphere Foundation приведена строка «SXi-9.1.0.0-25370933 и ESXi-9.0.2.0100-25595025» — именно с начальной буквой S. Для VMware ESX и VMware Telco Cloud Platform указан ESXi80U3j-25429389, для VMware Cloud Foundation — 5.2.4.
В отчёте CrowdStrike 2026 Legal Threat Landscape Report Warp Panda названа связанной с Китаем кибершпионской группой, представляющей длительную и целенаправленную угрозу для организаций США в разных отраслях. У неё есть и другие названия: Armory Castle, UNC5221 — прежнее обозначение группы, — Clay Typhoon и VerdantBamboo.
По описанию CrowdStrike, Warp Panda начинает атаки с интернет-доступных пограничных устройств, используя уязвимости нулевого дня и собственное вредоносное ПО для скрытого, устойчивого доступа. Затем группа может перейти в среду VMware vCenter и развернуть инструменты для закрепления. Среди упомянутых семейств вредоносных программ — BRICKSTORM и SharpStorm. Группа также обходила аудит, похищала облачные токены сессий и регистрировала несанкционированные устройства многофакторной аутентификации (MFA).
В отдельных случаях злоумышленники извлекали токены пользовательских сессий из облачных сервисов, чтобы получать доступ к Microsoft 365 без срабатывания оповещений, связанных с учётными данными. По меньшей мере в одном эпизоде Warp Panda добавила новое MFA-устройство к скомпрометированной учётной записи. Такой доступ мог сохраниться даже после смены пароля.
У группы есть история эксплуатации уязвимостей нулевого дня в Citrix NetScaler и Ivanti Connect Secure. Ранее в том же месяце Google-owned Mandiant связала её с использованием другой уязвимости: CVE-2026-102764 в BeyondTrust Remote Support. Это критический дефект проверки происхождения запроса (improper origin validation) с оценкой CVSS 9,3. По данным Mandiant, для доставки вредоносных программ применялись SAWFLY и BARECLAW; точные месяц и дата атрибуции не названы.
Юридические фирмы интересуют шпионов из-за хранящихся там переписок с клиентами, материалов о слияниях и поглощениях, стратегий по текущим судебным делам и доступа к данным разных клиентов. CrowdStrike считает, что такие сведения могут дать государственному противнику разведданные с практической ценностью для дальнейших операций.
Для федеральных ведомств исполнительной власти США (FCEB) рекомендованный срок установки исправлений — 11 ноября 2026 года. Это особенно существенно для организаций, где административный доступ уже мог быть скомпрометирован: устранение уязвимости закрывает путь к незаметным операциям, но само по себе не подтверждает, что прежний доступ злоумышленников прекращён.
