CISA ha aggiunto una vulnerabilità di logging di VMware ESX al proprio catalogo delle Known Exploited Vulnerabilities il 28 ottobre 2026, segnalando prove di sfruttamento attivo. La mossa segue i risultati di CrowdStrike, riportati da The Hacker News, secondo cui l'attore di minaccia legato alla Cina Warp Panda ha usato CVE-2026-41709 come zero-day all'inizio del 2026 in attacchi contro il settore legale statunitense.
La vulnerabilità richiede accesso da amministratore e permette che alcune operazioni non vengano registrate nei log. Il punteggio CVSS riportato, pari a 2,7, descrive la sua gravità, mentre l'aggiunta al catalogo di CISA stabilisce che lo sfruttamento è avvenuto. Negli attacchi descritti da CrowdStrike, la falla serviva a ridurre la visibilità sulle attività tracciate, dopo che gli attaccanti avevano già ottenuto l'accesso.
Dall'accesso sui dispositivi edge alla visibilità ridotta
Secondo il report 2026 di CrowdStrike sul panorama delle minacce per il settore legale, riportato da The Hacker News, Warp Panda compromette dispositivi edge esposti su internet e poi si sposta negli ambienti VMware vCenter. Per mantenere l'accesso persistente evitando il rilevamento, distribuisce malware personalizzati, tra cui BRICKSTORM e SharpStorm.
CrowdStrike afferma che il gruppo ha sfruttato CVE-2026-41709 per occultare le proprie attività. Questa debolezza di logging è distinta dalle vulnerabilità usate per ottenere l'accesso iniziale: per usarla, un attaccante deve già avere privilegi di amministratore.
Alcune intrusioni hanno inoltre preso di mira servizi cloud, con l'obiettivo di estrarre token di sessione degli utenti per accedere a Microsoft 365 senza far scattare gli avvisi basati sulle credenziali. In almeno un caso, riferisce CrowdStrike, gli attaccanti hanno registrato un nuovo dispositivo di autenticazione a più fattori su un account compromesso, offrendo un modo per mantenere l'accesso anche dopo un cambio di password.
CrowdStrike descrive Warp Panda come una minaccia di cyberspionaggio persistente che colpisce diversi settori statunitensi. Tra i suoi obiettivi di intelligence indica le comunicazioni con i clienti degli studi legali, i materiali di fusioni e acquisizioni, la strategia processuale e l'accesso trasversale ai clienti.
Correzioni riportate e perimetro di intervento federale
The Hacker News riferisce che Broadcom ha risolto la falla di logging in un avviso di luglio 2026, elencando per prodotto le versioni corrette:
- VMware Cloud Foundation:
SXi-9.1.0.0-25370933eESXi-9.0.2.0100-25595025; il report elenca inoltre separatamente VMware Cloud Foundation5.2.4. - VMware vSphere Foundation:
SXi-9.1.0.0-25370933eESXi-9.0.2.0100-25595025. - VMware ESX:
ESXi80U3j-25429389. - VMware Telco Cloud Platform:
ESXi80U3j-25429389.
The Hacker News indica l'11 novembre 2026 come data entro cui le agenzie del Potere esecutivo federale civile devono applicare le correzioni. Non tutte le organizzazioni rientrano in questo perimetro di intervento federale. L'avviso di CISA precisa che la sua direttiva operativa vincolante si applica solo a quelle agenzie, mentre invita tutte le organizzazioni a dare priorità alla correzione delle vulnerabilità sfruttate note attraverso una gestione del rischio basata sulle vulnerabilità.
