Aanvallers gebruiken kwetsbaarheid in VMware ESXi (CVE-2026-41709) om acties onzichtbaar te maken en zo hun sporen te verbergen.
Hackers maken actief gebruik van een kwetsbaarheid in VMware ESXi om hun sporen te verbergen, melden het Amerikaanse cyberagentschap CISA en cybersecuritybedrijf CrowdStrike. De kwetsbaarheid, bekend als CVE-2026-41709, zit in verschillende VMware-componenten en stelt een kwaadwillende beheerder in staat om bepaalde acties uit te voeren zonder dat deze worden gelogd.
VMware ESXi, onderdeel van het vSphere-platform, is een bare metal hypervisor die direct op een server wordt geïnstalleerd om besturingssystemen te virtualiseren. Op 29 juli bracht Broadcom beveiligingsupdates uit voor deze logging-kwetsbaarheid, nadat het bedrijf was geïnformeerd door CrowdStrike. Hoewel de kwetsbaarheid een relatief lage CVSS-impactscore van 2.7 heeft, is deze toch interessant genoeg gebleken voor aanvallers.
Volgens CrowdStrike maakt een groep die bekendstaat als 'Warp Panda' sinds begin dit jaar gebruik van deze kwetsbaarheid om bij aangevallen organisaties geen audit trail achter te laten. Om misbruik te kunnen maken van CVE-2026-41709 moet een aanvaller al toegang hebben tot de ESXi-omgeving. Hoe deze toegang precies werd verkregen bij de aanvallen waarbij het lek werd ingezet, is niet bekendgemaakt.
Ook CISA bevestigt dat aanvallers deze kwetsbaarheid exploiteren, maar verstrekt geen details over de specifieke incidenten. VMware ESXi en ESX zijn vaker doelwit van aanvallen; CISA is bekend met acht verschillende kwetsbaarheden die in de afgelopen jaren bij aanvallen op deze platforms zijn gebruikt. Daarnaast zijn er twaalf kwetsbaarheden in VMware vCenter, dat vaak samen met ESXi wordt ingezet, die aanvallers in staat stellen om omgevingen op afstand over te nemen.
