De Amerikaanse cyberagentschap CISA heeft woensdag 28 oktober een kwetsbaarheid in Broadcom VMware ESX aan de Known Exploited Vulnerabilities-catalogus toegevoegd, nadat beveiligingsbedrijf CrowdStrike bekendmaakte dat het lek als zero-day is ingezet door een China-gelieerde dreigingsactor. Het gaat om CVE-2026-41709, met een CVSS-score van slechts 2,7, een logging-kwetsbaarheid waarmee iemand met beheerderstoegang bepaalde handelingen kan uitvoeren zonder dat die in de audit trail belanden.
CrowdStrike schrijft de aanvallen toe aan een groep die het bedrijf Warp Panda noemt, in zijn 2026 Legal Threat Landscape Report. De groep is ook bekend onder de namen Armory Castle (voorheen UNC5221), Clay Typhoon en VerdantBamboo. Warp Panda zette CVE-2026-41709 begin 2026 in als zero-day, met als specifiek doel de zichtbaarheid van audit trails te verminderen en zo langer onopgemerkt te blijven. Het Amerikaanse juridische sector was het voornaamste doelwit van deze campagne.
Volgens CrowdStrike verkrijgt Warp Panda eerst toegang via internetgerichte edge-apparaten en beweegt vervolgens door naar VMware vCenter-omgevingen, waar de groep malwarefamilies als BRICKSTORM en SharpStorm plaatst. Naast het blinderen van audit logs omzeilt de groep ook op andere manieren detectie: door cloud-sessietokens te stelen en kwaadaardige MFA-apparaten op accounts te registreren, zodat de aanvallers legitiem lijken binnen de omgeving.
Dat de kwetsbaarheid zelf een lage CVSS-score van 2,7 heeft, zegt weinig over het risico in de praktijk. Juist het onopgemerkt kunnen uitvoeren van handelingen maakt het lek waardevol in combinatie met de rest van de aanvalsketen: een aanvaller die al beheerderstoegang tot vCenter heeft verworven, gebruikt deze fout om sporen van verdere acties te wissen voordat forensisch onderzoek ze kan vastleggen.
Broadcom bracht de patch al in juli 2026 uit via een eigen advisory. Voor VMware Cloud Foundation en vSphere Foundation verscheen de fix in ESXi-9.1.0.0-25370933 en ESXi-9.0.2.0100-25595025, voor VMware ESX in ESXi80U3j-25429389, en voor VMware Cloud Foundation specifiek ook in versie 5.2.4. Diezelfde ESXi80U3j-25429389-update verhelpt het lek ook in VMware Telco Cloud Platform.
Omdat CISA het lek nu in de KEV-catalogus heeft opgenomen, moeten Amerikaanse federale overheidsinstanties (FCEB) de patch uiterlijk 11 november 2026 hebben toegepast. Voor Nederlandse organisaties met VMware ESX of vCenter in beheer is die deadline niet verplicht, maar wel een goed ijkpunt: controleer of de juli-patches al zijn uitgerold, en kijk bij vCenter-omgevingen extra kritisch naar ongebruikelijke beheeractiviteit, nieuwe MFA-registraties en gaten in audit logs, zeker als de omgeving ooit vanaf het internet bereikbaar is geweest.
Bron: The Hacker News
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.