CISA hat am 28. Oktober 2026 eine Logging-Schwachstelle in VMware ESX in den Katalog Known Exploited Vulnerabilities aufgenommen und verweist dabei auf Belege für eine aktive Ausnutzung. Der Schritt folgt auf Erkenntnisse von CrowdStrike, über die The Hacker News berichtete: Demnach nutzte der China zugeordnete Bedrohungsakteur Warp Panda CVE-2026-41709 Anfang 2026 als Zero-Day bei Angriffen auf den US-Rechtssektor.
Die Schwachstelle setzt Administratorzugriff voraus und ermöglicht, dass bestimmte Vorgänge nicht protokolliert werden. Der gemeldete CVSS-Wert von 2,7 beschreibt ihren Schweregrad; die Aufnahme in den Katalog durch CISA belegt, dass eine Ausnutzung stattgefunden hat. In den von CrowdStrike beschriebenen Angriffen diente die Lücke dazu, die Protokollsichtbarkeit zu verringern, nachdem sich die Angreifer Zugang verschafft hatten.
Vom Zugriff am Netzwerkrand zur verringerten Sichtbarkeit
Laut dem Legal Threat Landscape Report 2026 von CrowdStrike, wie The Hacker News berichtet, kompromittiert Warp Panda zunächst aus dem Internet erreichbare Edge-Geräte und bewegt sich anschließend in VMware-vCenter-Umgebungen. Die Gruppe setzt eigens entwickelte Malware ein, darunter BRICKSTORM und SharpStorm, um dauerhaften Zugriff zu halten und Entdeckung zu vermeiden.
CrowdStrike zufolge nutzte die Gruppe CVE-2026-41709, um ihre Aktivitäten zu verschleiern. Diese Logging-Schwachstelle ist von den Lücken zu unterscheiden, die für den ersten Zugriff genutzt wurden: Ein Angreifer muss bereits über Administratorrechte verfügen, um sie auszunutzen.
Einige Angriffe richteten sich außerdem gegen Cloud-Dienste, um Sitzungstoken von Nutzern abzugreifen und so auf Microsoft 365 zuzugreifen, ohne anmeldedatenbasierte Warnmeldungen auszulösen. In mindestens einem Fall registrierten die Angreifer laut CrowdStrike ein neues Multifaktor-Authentifizierungsgerät auf einem kompromittierten Konto. So konnten sie den Zugriff auch nach einer Passwortänderung behalten.
CrowdStrike beschreibt Warp Panda als eine anhaltende Cyberspionage-Bedrohung in mehreren Sektoren der USA. Als Ziele für nachrichtendienstliche Zwecke nennt das Unternehmen die Kommunikation mit Mandanten von Kanzleien, Unterlagen zu Fusionen und Übernahmen, Prozessstrategien sowie den Zugang zu Mandanten übergreifend.
Gemeldete Korrekturen und Umfang der Behebung auf Bundesebene
The Hacker News berichtete, Broadcom habe die Logging-Schwachstelle in einem Advisory vom Juli 2026 behoben, und listete die korrigierten Versionen nach Produkt auf:
- VMware Cloud Foundation:
SXi-9.1.0.0-25370933undESXi-9.0.2.0100-25595025; der Bericht führt zusätzlich VMware Cloud Foundation5.2.4gesondert auf. - VMware vSphere Foundation:
SXi-9.1.0.0-25370933undESXi-9.0.2.0100-25595025. - VMware ESX:
ESXi80U3j-25429389. - VMware Telco Cloud Platform:
ESXi80U3j-25429389.
The Hacker News nennt den 11. November 2026 als Frist, bis zu der die Behörden der zivilen Exekutive des Bundes (Federal Civilian Executive Branch) die Korrekturen anwenden müssen. Dieser Umfang der Behebung auf Bundesebene gilt nicht für jede Organisation. Laut CISA-Warnmeldung gilt deren verbindliche Betriebsanweisung nur für diese Behörden, während alle Organisationen dazu aufgerufen werden, die Behebung bekannter ausgenutzter Schwachstellen über ein risikobasiertes Schwachstellenmanagement zu priorisieren.
