Hackers vinculados a China explotan vulnerabilidad zero-day de VMware ESX para ocultar rastros
Una crítica vulnerabilidad de VMware ESX está siendo explotada por un grupo con nexos en China para reducir la visibilidad de las pistas de auditoría. CISA ha añadido el fallo a su catálogo de vulnerabilidades conocidas y explotadas.
Resumen
- Los hackers Warp Panda utilizaron CVE-2026-41709 para atacar bufetes legales en EE.UU.
- La explotación reduce la visibilidad de las pistas de auditoría en sistemas VMware ESX.
- CISA añade el zero-day a su catálogo KEV tras confirmar su uso activo.
- Las organizaciones que usan VMware ESX deben aplicar los parches de inmediato.
- CrowdStrike identificó por primera vez la explotación en el mundo real.
Una recientemente divulgada vulnerabilidad zero-day en VMware ESX ha sido activamente explotada por un grupo avanzado y persistente (APT) con vínculos en China, conocido como Warp Panda. Los atacantes dirigieron sus esfuerzos contra organizaciones del sector legal en Estados Unidos, aprovechando esta falla para reducir la visibilidad de las pistas de auditoría e impedir investigaciones forenses.
La Agencia de Seguridad Cibernética e Infraestructura de EE.UU. (CISA) respondió añadiendo la vulnerabilidad, identificada como CVE-2026-41709, a su catálogo de Vulnerabilidades Conocidas y Explotadas (KEV). Este movimiento subraya el riesgo inmediato que supone para los entornos empresariales que utilizan la plataforma de virtualización de VMware.
Resumen de la vulnerabilidad
- CVE-2026-41709 afecta a VMware ESX, una plataforma de virtualización de servidores ampliamente utilizada.
- La falla permite a los atacantes manipular registros del sistema y reducir la visibilidad forense.
- Ha recibido una puntuación alta de severidad CVSS debido a su potencial de explotación.
- VMware ha publicado parches para solucionar el problema.
Actividad del actor de amenaza
- Warp Panda, un grupo APT con conexiones en China, está detrás de la campaña de explotación.
- Entre los objetivos se incluyen bufetes legales en Estados Unidos, probablemente con fines de inteligencia.
- CrowdStrike detectó por primera vez el uso de este zero-day en ataques reales.
- El grupo utilizó la vulnerabilidad para mantener persistencia mientras evitaba ser detectado.
Acciones recomendadas
- Las organizaciones deben aplicar inmediatamente los parches oficiales de VMware para CVE-2026-41709.
- Revisar los registros del sistema en busca de actividad anómala relacionada con las interfaces de gestión de ESX.
- Monitorear el tráfico de red en busca de signos de movimiento lateral tras una posible intrusión.
- Garantizar que todas las plataformas de virtualización estén incluidas en programas continuos de escaneo de vulnerabilidades.
Fuentes
Fuentes
Novedades de seguridad por correo
Un correo resumen cuando publicamos nuevos artículos de seguridad (resumen más enlaces para leer más). Date de baja cuando quieras desde el pie del mensaje. Consulta nuestra Política de privacidad.