CISA ha aggiunto CVE-2026-41709, una vulnerabilità di VMware ESXi, al catalogo delle vulnerabilità sfruttate attivamente. Il difetto può consentire a chi possiede già privilegi amministrativi di compiere alcune operazioni senza che vengano registrate nei log.
L’inserimento segue un rapporto di CrowdStrike che attribuisce lo sfruttamento come zero-day, avvenuto all’inizio del 2026, al gruppo legato alla Cina Warp Panda. Secondo l’azienda di sicurezza, gli attacchi hanno colpito in particolare il settore legale statunitense.
Un difetto nei log, non un accesso iniziale diretto
La vulnerabilità è classificata con punteggio CVSS 2,7 e riguarda una registrazione insufficiente delle attività. Il punto centrale è nei requisiti: l’attaccante deve già disporre di accesso amministrativo, quindi il bug non descrive da solo un ingresso remoto in un server VMware ESXi esposto su Internet.
Una volta ottenuti quei privilegi, però, l’assenza di determinate tracce nei log può rendere meno visibili operazioni eseguite nell’ambiente virtualizzato. È proprio questa capacità di ridurre la visibilità della pista di controllo ad aver reso il difetto utile nelle intrusioni descritte da CrowdStrike.
Secondo il rapporto, Warp Panda entra inizialmente attraverso dispositivi edge accessibili da Internet, sfruttando vulnerabilità zero-day e malware personalizzati. Da lì, il gruppo si sposterebbe verso gli ambienti VMware vCenter e userebbe strumenti quali BRICKSTORM e SharpStorm per mantenere l’accesso in modo discreto.
Le versioni corrette da Broadcom
Broadcom ha indicato la correzione della vulnerabilità nelle seguenti release:
- VMware Cloud Foundation 9.1.0.0-25370933 ed ESXi 9.0.2.0100-25595025;
- VMware vSphere Foundation 9.1.0.0-25370933 ed ESXi 9.0.2.0100-25595025;
- VMware ESXi 8.0 U3j, build 25429389;
- VMware Cloud Foundation 5.2.4;
- VMware Telco Cloud Platform con ESXi 8.0 U3j, build 25429389.
Le organizzazioni che utilizzano le piattaforme interessate devono quindi verificare con precisione versione e build effettivamente installate, anziché basarsi soltanto sul nome generale del prodotto. Le correzioni elencate da Broadcom sono il riferimento operativo riportato dalla fonte.
Perché CISA l’ha inserita nel catalogo KEV
Il catalogo Known Exploited Vulnerabilities raccoglie falle per cui CISA segnala uno sfruttamento attivo. L’aggiunta di CVE-2026-41709 non cambia la natura del bug, che richiede privilegi amministrativi, ma evidenzia che quella condizione è stata raggiunta e usata in attacchi reali.
Per le agenzie federali civili statunitensi, CISA indica l’applicazione delle correzioni entro l’11 novembre 2026. La scadenza riguarda specificamente le agenzie FCEB e non equivale a una data di aggiornamento imposta a tutte le organizzazioni, ma segnala l’urgenza attribuita al caso.
Il gruppo Warp Panda e le tecniche descritte
CrowdStrike identifica Warp Panda anche con i nomi Armory Castle, in precedenza UNC5221, Clay Typhoon e VerdantBamboo. Il gruppo viene descritto come una minaccia di cyberspionaggio con legami con la Cina e con un interesse strategico per enti statunitensi di più settori.
In alcune intrusioni, il gruppo avrebbe puntato anche ai servizi cloud per sottrarre token di sessione e accedere agli ambienti Microsoft 365 senza generare i consueti avvisi basati sulle credenziali. In almeno un caso avrebbe inoltre registrato un nuovo dispositivo MFA su un account compromesso, mantenendo una via d’accesso anche dopo il cambio della password.
Domande frequenti
CVE-2026-41709 permette a chiunque di entrare in ESXi?
No. La vulnerabilità descritta richiede che l’attore disponga già di accesso amministrativo; consente di effettuare determinate operazioni senza che vengano registrate nei log.
Quali prodotti VMware sono coinvolti?
La fonte cita VMware ESXi, VMware Cloud Foundation, VMware vSphere Foundation e VMware Telco Cloud Platform. Le build corrette indicate da Broadcom comprendono ESXi 9.0.2.0100-25595025 ed ESXi 8.0 U3j build 25429389, oltre a Cloud Foundation 5.2.4.
Perché una falla con CVSS 2,7 è considerata rilevante?
Il punteggio non descrive da solo il contesto di un’intrusione. In questo caso, secondo CrowdStrike, il difetto è stato sfruttato dopo l’ottenimento di privilegi amministrativi per ridurre la visibilità delle attività nei registri di controllo.
Considerazioni finali
Questo caso mostra bene perché il punteggio CVSS non basta a stabilire la priorità di intervento. Un difetto che richiede privilegi elevati può avere un impatto concreto se viene inserito in una catena d’attacco già capace di raggiungere gli ambienti di virtualizzazione.
L’elemento più rilevante è lo sfruttamento attivo segnalato da CISA: per le installazioni nelle versioni coinvolte, la verifica delle build e l’applicazione delle correzioni indicate da Broadcom pesano più del valore numerico isolato della vulnerabilità.