De Amerikaanse Cybersecurity and Infrastructure Security Agency (CISA) heeft woensdag een beveiligingslek dat Broadcom VMware ESX raakt toegevoegd aan haar Known Exploited Vulnerabilities (KEV)-catalogus, nadat CrowdStrike meldde dat het door een China-gerelateerde dreigingsactor genaamd Warp Panda werd ingezet bij aanvallen gericht op de Amerikaanse juridische sector.
Het betreffende lek is CVE-2026-41709 (CVSS-score: 2.7), een kwetsbaarheid in onvoldoende logging die een kwaadwillende met admin-toegang in staat kan stellen bepaalde handelingen uit te voeren zonder dat deze worden vastgelegd.
In een advies dat in juli 2026 werd uitgebracht, gaf Broadcom aan dat het probleem is verholpen in de volgende versies:
- VMware Cloud Foundation SXi-9.1.0.0-25370933 en ESXi-9.0.2.0100-25595025
- VMware vSphere Foundation SXi-9.1.0.0-25370933 en ESXi-9.0.2.0100-25595025
- VMware ESX ESXi80U3j-25429389
- VMware Cloud Foundation 5.2.4
- VMware Telco Cloud Platform ESXi80U3j-25429389
De ontwikkeling volgt op CrowdStrike’s 2026 Legal Threat Landscape Report, waarin werd onthuld dat Warp Panda CVE-2026-41709 begin 2026 als zero-day heeft uitgebuit met als doel de zichtbaarheid van auditsporen te verkleinen.
In het voor The Hacker News gedeelde rapport stelt CrowdStrike dat Warp Panda “misbruik maakt van naar het internet gerichte edge-apparaten met zero-day-kwetsbaarheden en aangepast malware om verborgen, persistente toegang te behouden”, en voegt daaraan toe dat de tegenstander “actief detectie omzeilt door auditlogging te omzeilen, cloud-sessietokens te verzamelen en kwaadaardige multi-factor authenticatie (MFA)-apparaten te registreren.”
De dreigingsactor, ook gevolgd onder namen als Armory Castle (voorheen UNC5221), Clay Typhoon en VerdantBamboo, heeft een lange geschiedenis van het weaponizen van zero-day-kwetsbaarheden in Citrix NetScaler- en Ivanti Connect Secure-apparaten.
Begin deze maand schreef Mandiant, onderdeel van Google, de hackinggroep eveneens toe aan het zero-day misbruik van een kritieke onjuiste origin-validatie in BeyondTrust Remote Support (CVE-2026-102764, CVSS-score: 9.3) die werd gebruikt om malwarefamilies zoals SAWFLY en BARECLAW af te leveren.
De aanvallen van Warp Panda starten doorgaans met het misbruiken van naar internet gerichte edge-apparaten om initiële toegang te verkrijgen. Daarna pivot de actor naar VMware vCenter-omgevingen om aangepaste malware zoals BRICKSTORM en SharpStorm te deployen, waarmee persistente toegang wordt gehandhaafd zonder veel aandacht te trekken.
Sommige inbraken omvatten ook het gericht aanvallen van clouddiensten om gebruikerssessietokens te exfiltreren en zo toegang te krijgen tot Microsoft 365-omgevingen zonder credential-gebaseerde waarschuwingen te triggeren. In minstens één geval zou Warp Panda een nieuw MFA-apparaat op een gecompromitteerd account hebben geregistreerd om persistente toegang op te bouwen, zelfs als het wachtwoord later werd gewijzigd.
“Warp Panda vormt een aanhoudende en strategisch gerichte China-gerelateerde cyberspionagedreiging voor Amerikaanse entiteiten in meerdere sectoren, waaronder de juridische sector,” aldus CrowdStrike.
“De concentratie van cliëntcommunicatie, fusie- en overnamematerialen, actieve processtrategieën en cross-client toegang binnen de juridische sector maakt die sector tot een waardevol verzameldoelwit voor een staatsgestuurde tegenstander die op zoek is naar inlichtingen met operationele toegevoegde waarde.”
Gezien de actieve exploitatie van CVE-2026-41709 wordt agentschappen binnen de Federal Civilian Executive Branch (FCEB) aanbevolen de patches uiterlijk 11 november 2026 toe te passen.
