CrowdStrike опубликовала исследование об атаках на инфраструктуру виртуализации VMware: группа Warp Panda, которую исследователи связывают с Китаем, использовала уязвимость CVE-2026-41709 в VMware ESX. По данным CrowdStrike, недостаток логирования позволял обходить запись административных команд и скрывать активность злоумышленников, а вредоносный код разворачивался внутри сред VMware vCenter.
Взломы произошли до того, как Broadcom выпустила патчи. Уязвимость затрагивала vCenter и связанные с ним сервисы Cloud Foundation, vSphere Foundation и Telco Cloud. На этой неделе CISA добавила CVE-2026-41709 в каталог Known Exploited Vulnerabilities (KEV) с низкой оценкой серьёзности. Федеральные агентства США обязаны устранить проблему до 11 ноября.
Как развивалась атака
Warp Panda, по описанию CrowdStrike, обычно начинает с эксплуатации уязвимостей на пограничных устройствах, доступных из интернета, — в том числе VPN-шлюзов Ivanti Connect Secure и систем F5 BIG-IP. Получив начальный доступ, операторы перемещаются внутри сети к средам VMware vCenter. Там они разворачивают собственный вредонос, включая Brickstorm — инструмент удалённого доступа, который маскируется под легитимные процессы vCenter.
Часть атак была направлена на облачные среды Microsoft: Brickstorm применялся для доступа к сервисам Microsoft 365. Злоумышленники скачивали конфиденциальные документы SharePoint, в том числе файлы, касающиеся команд сетевой инженерии и реагирования на инциденты.
Кого затронули
Отчёт CrowdStrike посвящён угрозам для юридического сектора, но в нём отмечено, что кампания затронула также технологическую отрасль и промышленность. Публичных данных о числе пострадавших организаций в материале нет.
CrowdStrike Intelligence оценивает с умеренной уверенностью, что Warp Panda продолжит уделять первоочередное внимание уязвимостям инфраструктуры виртуализации и пограничных устройств как минимум до середины 2027 года.
Что это значит для администратора vCenter
Ключевая особенность CVE-2026-41709 — недостаточное логирование: атакующий может выполнять административные команды, не оставляя следов в журналах. Поэтому отсутствие подозрительных записей в логах vCenter само по себе не доказывает, что среды не касались. Проверять стоит не только журналы, но и целостность процессов vCenter и наличие необычных подключений к Microsoft 365 и SharePoint.
Второй вывод касается периметра: начальный доступ шёл через пограничные устройства — VPN Ivanti Connect Secure и F5 BIG-IP. Их версии и патчи важны не меньше, чем обновления самой платформы виртуализации.
Наконец, срок из KEV — 11 ноября — ориентир для федеральных агентств США, но разумный дедлайн и для остальных: обновления Broadcom для vCenter, Cloud Foundation, vSphere Foundation и Telco Cloud закрывают уязвимость, которую уже использовали в реальных атаках.
Для российских организаций, эксплуатирующих VMware, ситуация осложняется тем, что вендор после 2022 года ограничил работу в РФ, и доступ к обновлениям и техподдержке может быть затруднён. Тем не менее именно установка патча остаётся основной мерой, а до неё стоит усилить мониторинг периметра и сегментировать сети управления vCenter.
Частые вопросы
Что такое CVE-2026-41709?
Это уязвимость недостаточного логирования в VMware ESX, впервые обнаруженная в июле. Она позволяет обходить запись административных команд и скрывать действия атакующего.
Кто эксплуатировал эту уязвимость?
CrowdStrike связывает атаки с группой Warp Panda, которую исследователи называют связанной с Китаем. Атрибуция основана на анализе кампании и её целей; это оценка CrowdStrike, а не установленный факт.
Какие продукты VMware затронуты?
vCenter и связанные с ним сервисы: Cloud Foundation, vSphere Foundation и Telco Cloud.
Атаки были до патча или после?
Взломы произошли до того, как Broadcom выпустила исправления.
Что изменилось после публикации CrowdStrike?
CISA добавила CVE-2026-41709 в каталог Known Exploited Vulnerabilities с низкой оценкой серьёзности. Федеральные агентства США должны устранить уязвимость до 11 ноября.
Как злоумышленники попадали в сеть?
Через уязвимости пограничных устройств, доступных из интернета, — в частности VPN Ivanti Connect Secure и систем F5 BIG-IP. Затем они перемещались к vCenter.
Что такое Brickstorm?
Это инструмент удалённого доступа из арсенала Warp Panda, который маскируется под легитимные процессы vCenter. Его также использовали для доступа к Microsoft 365 и скачивания документов SharePoint.
Как понять, что среду уже скомпрометировали?
Из-за недостаточного логирования одних журналов vCenter недостаточно. Стоит проверить необычные подключения к Microsoft 365 и SharePoint, а также активность, связанную с процессами vCenter.
Насколько долго продлится кампания?
CrowdStrike с умеренной уверенностью оценивает, что Warp Panda будет приоритетно атаковать инфраструктуру виртуализации и пограничные устройства как минимум до середины 2027 года.
Связано ли это с другими инцидентами вокруг VMware?
CrowdStrike описывает отдельную кампанию. Другие события вокруг платформы, например изменения в VMware Cloud Foundation 9.1 или уход VMware on Azure, относятся к развитию продуктов и не связаны с этой атакой напрямую.
Источник: sdxcentral.com