Khai thác lỗ hổng VMware ESX giúp che giấu dấu vết tấn công
"China-linked threat actor Warp Panda exploited a zero-day vulnerability (CVE-2026-41709, CVSS 2.7) in VMware ESX to reduce audit trail visibility. This allowed for covert, persistent access, particularly targeting the U.S. legal sector. Patches are available in VMware Cloud Foundation, vSphere Foundation, ESXi, and Telco Cloud Platform versions released in July 2026."
Lỗ hổng ghi nhật ký không đầy đủ cho phép kẻ tấn công che giấu hoạt động và duy trì quyền truy cập liên tục.
Các doanh nghiệp, đặc biệt trong ngành luật, có thể bị mất dữ liệu nhạy cảm và ảnh hưởng đến uy tín nếu bị khai thác. Việc vá lỗ hổng là cần thiết để giảm thiểu rủi ro.
CISA vừa thêm lỗ hổng bảo mật CVE-2026-41709 (CVSS 2.7) trong VMware ESX vào danh mục KEV sau khi CrowdStrike phát hiện nhóm Warp Panda (liên kết Trung Quốc) lợi dụng nó để tấn công ngành luật pháp Hoa Kỳ.
Lỗ hổng này liên quan đến việc ghi nhật ký không đầy đủ, cho phép kẻ tấn công có quyền quản trị thực hiện hành động mà không bị ghi lại. Broadcom đã phát hành bản vá cho các phiên bản VMware Cloud Foundation, vSphere Foundation, ESXi, và Telco Cloud Platform trong tháng 7 năm 2026.
Warp Panda sử dụng lỗ hổng này để giảm khả năng theo dõi hoạt động của chúng. Báo cáo Legal Threat Landscape 2026 của CrowdStrike cho thấy họ khai thác CVE-2026-41709 từ đầu năm 2026. Nhóm này còn được biết đến với các tên Armory Castle, Clay Typhoon, và VerdantBamboo, từng khai thác lỗ hổng zero-day trong Citrix NetScaler và Ivanti Connect Secure.
Ngoài ra, Mandiant (thuộc Google) cũng liên kết Warp Panda với việc khai thác lỗ hổng nghiêm trọng trong BeyondTrust Remote Support (CVE-2026-102764, CVSS 9.3). Kẻ tấn công thường xâm nhập qua các thiết bị biên, sau đó di chuyển đến môi trường VMware vCenter để triển khai phần mềm độc hại như BRICKSTORM và SharpStorm. Họ cũng nhắm mục tiêu vào các dịch vụ đám mây để lấy cắp token phiên người dùng, thậm chí đăng ký thiết bị MFA mới để duy trì quyền truy cập ngay cả khi mật khẩu thay đổi. CrowdStrike nhận định ngành luật pháp là mục tiêu giá trị cao do chứa nhiều thông tin nhạy cảm.
FCEB được khuyến nghị áp dụng bản vá trước ngày 11 tháng 11 năm 2026.
Câu hỏi thường gặp
CVE-2026-41709 là gì?
CVE-2026-41709 là một lỗ hổng bảo mật trong VMware ESX liên quan đến việc ghi nhật ký không đầy đủ. Nó cho phép kẻ tấn công có quyền quản trị thực hiện hành động mà không bị ghi lại, giúp che giấu dấu vết tấn công.
Warp Panda là ai?
Warp Panda là một nhóm tin tặc liên kết với Trung Quốc, được biết đến với việc khai thác các lỗ hổng zero-day để tấn công các tổ chức ở Hoa Kỳ. Họ nhắm mục tiêu đặc biệt vào ngành luật pháp.
Các phiên bản VMware nào bị ảnh hưởng?
Các phiên bản VMware Cloud Foundation, vSphere Foundation, ESXi, và Telco Cloud Platform đều bị ảnh hưởng bởi lỗ hổng này. Bản vá đã được phát hành vào tháng 7 năm 2026.
Góc nhìn của Orange Cloud
Theo chúng tôi, việc Warp Panda nhắm mục tiêu vào ngành luật pháp cho thấy tầm quan trọng của việc bảo vệ thông tin khách hàng và chiến lược pháp lý. Các doanh nghiệp Việt Nam, đặc biệt là các công ty luật và tổ chức tài chính, nên kiểm tra và vá các hệ thống VMware ESX của họ ngay lập tức. Điều đáng chú ý là việc giảm khả năng ghi nhật ký có thể giúp kẻ tấn công hoạt động bí mật trong thời gian dài, gây khó khăn cho việc phát hiện và ứng phó sự cố.