CISA Tambahkan Kerentanan VMware ESX ke Katalog Eksploitasi Aktif

black steel cabinet — Miguel Carraça / Unsplash

Badan Keamanan Siber dan Infrastruktur Amerika Serikat menambahkan kerentanan pada perangkat lunak Broadcom VMware ESX ke dalam katalog kerentanan yang diketahui dieksploitasi. Tindakan ini dilakukan setelah laporan menunjukkan bahwa aktor ancaman yang terkait dengan Tiongkok telah menggunakan celah tersebut dalam serangan yang menargetkan sektor hukum di Amerika Serikat.

Kerentanan yang dimaksud memiliki identifikasi CVE-2026-41709 dengan skor CVSS sebesar 2,7. Masalah ini dikategorikan sebagai pencatatan yang tidak memadai. Kondisi tersebut memungkinkan aktor jahat yang memiliki akses administrator untuk melakukan operasi tertentu tanpa meninggalkan jejak di log sistem. Hal ini secara langsung mengurangi visibilitas jejak audit bagi tim keamanan yang memantau aktivitas jaringan.

Laporan lanskap ancaman hukum tahun 2026 mengungkapkan bahwa aktor ancaman yang dikenal sebagai Warp Panda mengeksploitasi kerentanan ini sebagai celah hari nol pada awal tahun 2026. Tujuannya adalah untuk mengurangi visibilitas jejak audit. Aktor ini juga melacak sebagai Armory Castle, Clay Typhoon, dan VerdantBamboo. Mereka memiliki sejarah panjang dalam menggunakan celah hari nol pada perangkat Citrix NetScaler dan Ivanti Connect Secure.

Metode serangan melibatkan pemanfaatan perangkat tepi yang menghadap internet untuk mendapatkan akses awal. Setelah berhasil masuk, aktor ancaman berpindah ke lingkungan VMware vCenter untuk menyebarkan perangkat lunak berbahaya khusus. Perangkat lunak tersebut digunakan untuk mempertahankan akses persisten tanpa menarik perhatian. Beberapa intrusi juga menargetkan layanan cloud untuk mengekstrak token sesi pengguna guna mengakses lingkungan Microsoft 365 tanpa memicu peringatan kredensial.

Dalam setidaknya satu kasus, aktor ancaman dilaporkan mendaftarkan perangkat autentikasi multifaktor baru pada akun yang telah dikompromikan. Langkah ini bertujuan untuk mengatur akses persisten bahkan jika kata sandi diubah. Mandiant juga mengaitkan kelompok peretasan ini dengan eksploitasi celah hari nol pada BeyondTrust Remote Support untuk menyebarkan perangkat lunak berbahaya.

Agensi cabang eksekutif sipil federal direkomendasikan untuk menerapkan perbaikan pada kerentanan ini sebelum tanggal 11 November 2026. Rekomendasi ini dikeluarkan mengingat adanya eksploitasi aktif yang sedang berlangsung. Sektor hukum dianggap sebagai target pengumpulan informasi bernilai tinggi karena menyimpan komunikasi klien dan strategi litigasi aktif.