Le 28 octobre 2026, la CISA a ajouté une vulnérabilité de journalisation de VMware ESX à son catalogue Known Exploited Vulnerabilities (KEV), en invoquant des preuves d’exploitation active. Cette décision fait suite aux constats de CrowdStrike, rapportés par The Hacker News, selon lesquels l’acteur de menace lié à la Chine Warp Panda a utilisé la vulnérabilité CVE-2026-41709 comme zero-day au début de 2026, dans des attaques visant le secteur juridique américain.
La faille nécessite un accès administrateur et permet à certaines opérations de ne pas être journalisées. Son score CVSS signalé, de 2,7, décrit sa gravité ; l’ajout au catalogue de la CISA établit en revanche que l’exploitation a bien eu lieu. Dans les attaques décrites par CrowdStrike, la faille servait à réduire la visibilité d’audit une fois que les attaquants avaient obtenu l’accès.
De l’accès en périphérie à la visibilité réduite
Selon le rapport 2026 de CrowdStrike sur le paysage des menaces pour le secteur juridique, tel que The Hacker News le décrit, Warp Panda compromet des équipements de périphérie exposés sur Internet, puis se déplace vers les environnements VMware vCenter. Le groupe déploie des logiciels malveillants sur mesure, dont BRICKSTORM et SharpStorm, pour conserver un accès persistant tout en évitant la détection.
CrowdStrike indique que le groupe a exploité la CVE-2026-41709 pour dissimuler son activité. Cette faiblesse de journalisation se distingue des vulnérabilités utilisées pour obtenir l’accès initial : un attaquant doit déjà disposer de privilèges administrateur pour l’exploiter.
Certaines intrusions visaient également des services cloud, dans le but d’extraire des jetons de session utilisateur afin d’accéder à Microsoft 365 sans déclencher d’alertes liées aux identifiants. Dans au moins un cas, selon CrowdStrike, les attaquants ont enregistré un nouveau dispositif d’authentification multifacteur sur un compte compromis, ce qui leur permettait de conserver l’accès même après un changement de mot de passe.
CrowdStrike décrit Warp Panda comme une menace de cyberespionnage persistante visant plusieurs secteurs aux États-Unis. Le groupe identifie comme cibles de renseignement les communications avec les clients des cabinets juridiques, les documents de fusions-acquisitions, la stratégie contentieuse et l’accès aux différents clients.
Correctifs signalés et périmètre de la remédiation fédérale
The Hacker News rapporte que Broadcom a corrigé la vulnérabilité de journalisation dans un avis de juillet 2026, en listant les versions corrigées par produit :
- VMware Cloud Foundation :
SXi-9.1.0.0-25370933etESXi-9.0.2.0100-25595025; le rapport indique aussi séparément VMware Cloud Foundation5.2.4. - VMware vSphere Foundation :
SXi-9.1.0.0-25370933etESXi-9.0.2.0100-25595025. - VMware ESX :
ESXi80U3j-25429389. - VMware Telco Cloud Platform :
ESXi80U3j-25429389.
The Hacker News indique le 11 novembre 2026 comme date à laquelle les agences du pouvoir exécutif fédéral civil (Federal Civilian Executive Branch) doivent appliquer les correctifs. Ce périmètre de remédiation fédérale ne s’étend pas à toutes les organisations. L’alerte de la CISA précise que sa directive opérationnelle contraignante ne s’applique qu’à ces agences, tout en encourageant toutes les organisations à donner la priorité à la remédiation des vulnérabilités connues et exploitées, au moyen d’une gestion des vulnérabilités fondée sur les risques.
