Хакеры скрывали действия в VMware ESXi без записей в журналах

WARP PANDA (она же ARMORY CASTLE и UNC5221) использовала ранее неизвестную уязвимость CVE-2026-41709 в механизме регистрации команд гипервизора VMware ESX. Проблема позволяла администратору выполнять операции, которые не попадали в журналы, — то есть атакующий действовал, не оставляя следов для систем мониторинга. По оценке CrowdStrike, уязвимость эксплуатировалась как zero-day по крайней мере до начала 2026 года.

Broadcom присвоила CVE-2026-41709 всего 2,7 балла по шкале CVSS: низкая оценка объясняется тем, что для эксплуатации нужны уже имеющиеся административные привилегии. Исправления вышли 29 июля 2026 года и затронули VMware ESX 8.0, VMware Cloud Foundation, vSphere Foundation и Telco Cloud Platform; временного обходного решения вендор не предложил. 28 октября CISA включила уязвимость в каталог KEV, а госучреждения США обязаны установить патчи до 11 ноября 2026 года.

Помимо гипервизоров, группировка атакует доступные из интернета сетевые устройства и серверы VMware vCenter, использует вредоносное ПО BRICKSTORM и SharpStorm, а также крадёт токены сеансов Microsoft 365 в облачных сервисах. В одном из случаев хакеры зарегистрировали дополнительное устройство MFA в скомпрометированной учётной записи. Особое внимание WARP PANDA уделяла американским юридическим компаниям; по мнению CrowdStrike, доступ к их информации интересен для разведывательных операций, связанных с Китаем, — это оценка вендора, а не подтверждённый факт.

Почему это важно российским компаниям

Виртуализация на VMware распространена и в российской корпоративной инфраструктуре, в том числе в сегментах, где уже начался переход на отечественные платформы, — а значит, часть парка остаётся на решениях Broadcom. Главный риск здесь не в самой уязвимости с низким баллом, а в сценарии: если злоумышленник получил административный доступ, журналы гипервизора перестают быть надёжным источником при расследовании. Отдельно стоит учесть интерес группировки к юридическим компаниям — у российских юрфирм и их клиентов похожие чувствительные данные.

Что сделать администратору VMware

Установите исправления Broadcom для перечисленных продуктов — обходного пути вендор не предложил, поэтому откладывать патч не на что. Проверьте, не появились ли в учётных записях лишние устройства MFA и подозрительные сеансы, особенно в облачных сервисах. Ограничьте доступ к интерфейсам управления гипервизором и vCenter из интернета, контролируйте административные привилегии. Настройте выявление аномалий не только по журналам ESXi, но и на уровне сети и гостевых систем — раз записи в гипервизоре могут отсутствовать, нужны независимые источники телеметрии.