A Cybersecurity and Infrastructure Security Agency (CISA) adicionou, na quarta-feira, uma vulnerabilidade que afeta o Broadcom VMware ESX ao catálogo Known Exploited Vulnerabilities (KEV). A medida foi tomada depois que a CrowdStrike revelou que a falha havia sido explorada em ataques contra o setor jurídico dos Estados Unidos por um threat actor ligado à China, conhecido como Warp Panda.
Identificada como CVE-2026-41709 e com pontuação CVSS de 2,7, a vulnerabilidade está relacionada ao registro insuficiente de atividades. Ela pode permitir que um agente malicioso com acesso de administrador execute determinadas operações sem que elas sejam registradas.
Em um comunicado publicado em julho de 2026, a Broadcom informou que corrigiu o problema nas seguintes versões:
- VMware Cloud Foundation ESXi-9.1.0.0-25370933 e ESXi-9.0.2.0100-25595025
- VMware vSphere Foundation ESXi-9.1.0.0-25370933 e ESXi-9.0.2.0100-25595025
- VMware ESX ESXi80U3j-25429389
- VMware Cloud Foundation 5.2.4
- VMware Telco Cloud Platform ESXi80U3j-25429389
A inclusão no catálogo ocorreu após a divulgação do Relatório de Cenário de Ameaças ao Setor Jurídico de 2026, da CrowdStrike. O documento revelou que, no início de 2026, o Warp Panda explorou a CVE-2026-41709 como uma vulnerabilidade zero-day para reduzir a visibilidade dos registros de auditoria.
O Warp Panda “explora dispositivos de borda expostos à internet usando vulnerabilidades zero-day e malware personalizado para manter acesso oculto e persistente”, afirmou a CrowdStrike em relatório divulgado pelo The Hacker News. Segundo a empresa, o grupo “contorna ativamente os mecanismos de detecção ao driblar os registros de auditoria, coletar tokens de sessão na cloud e cadastrar dispositivos fraudulentos de autenticação multifator (MFA)”.
O threat actor também é rastreado pelos nomes Armory Castle, anteriormente UNC5221, Clay Typhoon e VerdantBamboo. O grupo tem um histórico de exploração de vulnerabilidades zero-day em dispositivos Citrix NetScaler e Ivanti Connect Secure.
No início deste mês, a Mandiant, empresa pertencente ao Google, também atribuiu ao grupo a exploração zero-day de uma falha crítica de validação inadequada de origem no BeyondTrust Remote Support, identificada como
CVE-2026-102764
e com pontuação CVSS de 9,3. O ataque foi usado para distribuir famílias de malware como SAWFLY e BARECLAW.
Os ataques do Warp Panda começam com a exploração de dispositivos de borda expostos à internet para obter acesso inicial. Em seguida, o grupo avança para ambientes VMware vCenter e instala malware desenvolvido sob medida, como BRICKSTORM e SharpStorm, para manter o acesso sem chamar atenção.
Algumas invasões também envolveram ataques a serviços de cloud para extrair tokens de sessão de usuários e acessar ambientes Microsoft 365 sem gerar alertas relacionados a credenciais. Em pelo menos um caso, o Warp Panda teria cadastrado um novo dispositivo de MFA em uma conta comprometida para manter o acesso mesmo após a troca da senha.
“O Warp Panda representa uma ameaça persistente e estrategicamente direcionada de espionagem cibernética ligada à China contra entidades dos Estados Unidos em diversos setores, incluindo o jurídico”, afirmou a CrowdStrike.
“A concentração de comunicações de clientes, documentos sobre fusões e aquisições, estratégias de litígios em andamento e acesso a informações de vários clientes faz do setor jurídico um alvo valioso para um adversário estatal em busca de inteligência que possa ter utilidade operacional futura.”
Diante da exploração ativa da CVE-2026-41709, a recomendação é que as agências do Poder Executivo Civil Federal dos Estados Unidos apliquem as correções até 11 de novembro de 2026.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...