CISA añadió una vulnerabilidad de registro de VMware ESX a su catálogo de vulnerabilidades explotadas conocidas el 28 de octubre de 2026, al constatar indicios de explotación activa. La medida sigue a los hallazgos de CrowdStrike, recogidos por The Hacker News, según los cuales el actor de amenazas Warp Panda, vinculado a China, utilizó CVE-2026-41709 como vulnerabilidad de día cero a principios de 2026, durante ataques dirigidos al sector jurídico de EE. UU.
La vulnerabilidad requiere acceso de administrador y permite que ciertas operaciones no queden registradas. Su puntuación CVSS reportada, de 2,7, describe su gravedad, mientras que la inclusión en el catálogo de CISA confirma que la explotación ha ocurrido. En los ataques descritos por CrowdStrike, el fallo servía para reducir la visibilidad de auditoría una vez que los atacantes habían obtenido acceso.
Del acceso perimetral a la menor visibilidad
Según el informe 2026 Legal Threat Landscape de CrowdStrike, tal como lo describe The Hacker News, Warp Panda compromete dispositivos perimetrales expuestos a internet y luego pasa a entornos VMware vCenter. Despliega malware personalizado, entre ellos BRICKSTORM y SharpStorm, para mantener un acceso persistente evitando la detección.
CrowdStrike afirmó que el grupo explotó CVE-2026-41709 para ocultar su actividad. Esa debilidad de registro es distinta de las vulnerabilidades usadas para obtener el acceso inicial: el atacante debe tener ya privilegios de administrador para aprovecharla.
Algunas intrusiones también apuntaron a servicios en la nube con el objetivo de extraer tokens de sesión de usuario y acceder a Microsoft 365 sin activar alertas basadas en credenciales. En al menos un caso, según CrowdStrike, los atacantes registraron un nuevo dispositivo de autenticación multifactor en una cuenta comprometida, lo que les permitió conservar el acceso incluso después de un cambio de contraseña.
CrowdStrike describió a Warp Panda como una amenaza de ciberespionaje sostenida que afecta a varios sectores de EE. UU. Identificó como objetivos de inteligencia las comunicaciones con clientes de bufetes jurídicos, los materiales de fusiones y adquisiciones, la estrategia de litigios y el acceso a distintos clientes.
Correcciones reportadas y alcance federal de remediación
The Hacker News informó que Broadcom corrigió la vulnerabilidad de registro en un aviso de julio de 2026, en el que enumera las siguientes versiones corregidas por producto:
- VMware Cloud Foundation:
SXi-9.1.0.0-25370933yESXi-9.0.2.0100-25595025; el informe también enumera por separado VMware Cloud Foundation5.2.4. - VMware vSphere Foundation:
SXi-9.1.0.0-25370933yESXi-9.0.2.0100-25595025. - VMware ESX:
ESXi80U3j-25429389. - VMware Telco Cloud Platform:
ESXi80U3j-25429389.
The Hacker News indica el 11 de noviembre de 2026 como fecha límite para que las agencias del Poder Ejecutivo Civil Federal apliquen las correcciones. Este alcance federal de remediación no se aplica a todas las organizaciones. El aviso de CISA señala que su directiva operativa vinculante se aplica únicamente a esas agencias, mientras que anima a todas las organizaciones a priorizar la remediación de las vulnerabilidades explotadas conocidas mediante una gestión de vulnerabilidades basada en riesgos.
