Безопасность · 1 ноября 2026 г.
Агентство кибербезопасности США внесло уязвимость VMware ESX в каталог активно эксплуатируемых уязвимостей
Агентство кибербезопасности и безопасности инфраструктуры США внесло уязвимость, затрагивающую программное обеспечение Broadcom VMware ESX, в каталог известных эксплуатируемых уязвимостей. Это решение было принято после того, как компания CrowdStrike сообщила о том, что данная уязвимость была использована группировкой Warp Panda, связанной с Китаем, в атаках, направленных против юридического сектора США.
Речь идет об уязвимости CVE-2026-41709, которая получила оценку 2,7 по шкале CVSS. Проблема заключается в недостаточном ведении журналов, что позволяет злоумышленнику с административным доступом выполнять определенные операции без их фиксации в логах. В бюллетене, опубликованном в июле 2026 года, компания Broadcom указала, что проблема была устранена в последующих версиях программного обеспечения.
Данные события стали следствием публикации отчета CrowdStrike об угрозах в юридической сфере в 2026 году. В документе отмечалось, что группировка Warp Panda эксплуатировала CVE-2026-41709 как нулевой день в начале 2026 года с целью снижения видимости аудиторских следов. По словам специалистов, злоумышленники используют уязвимости нулевого дня и собственное вредоносное ПО для поддержания скрытого и постоянного доступа к интернет-ориентированным периферийным устройствам.
Группировка также известна под именами Armory Castle, Clay Typhoon и VerdantBamboo. В отчете подчеркивается, что противник активно обходит системы обнаружения, минуя аудиторское логирование, собирая токены облачных сессий и регистрируя поддельные устройства многофакторной аутентификации. Ранее компания Mandiant, принадлежащая Google, также приписала этой группировке эксплуатацию критической уязвимости в BeyondTrust Remote Support для доставки вредоносных программ SAWFLY и BARECLAW.
Атаки Warp Panda обычно начинаются с получения начального доступа через интернет-ориентированные устройства, после чего злоумышленники переходят к средам VMware vCenter для развертывания вредоносного ПО BRICKSTORM и SharpStorm. В некоторых случаях целью становятся облачные сервисы для извлечения токенов сессий пользователей и доступа к средам Microsoft 365 без срабатывания тревог на основе учетных данных. В одном из задокументированных случаев была зарегистрирована новая устройство многофакторной аутентификации на скомпрометированном учетной записи для обеспечения постоянного доступа даже при смене пароля.
CrowdStrike охарактеризовала Warp Panda как устойчивую и стратегически сфокусированную угрозу кибершпионажа, связанную с Китаем, для организаций США в различных секторах. Юридический сектор считается высокоценной целью для сбора разведданных из-за концентрации клиентских коммуникаций, материалов по слияниям и поглощениям, а также стратегий активных судебных разбирательств. Федеральным гражданским исполнительным органам США рекомендуется применить исправления к 11 ноября 2026 года.