VMware ESX'teki düşük puanlı kayıt açığı, Çin bağlantılı bir grup tarafından sıfırıncı gün olarak kullanıldı

ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), 28 Ekim’de VMware ESX’teki CVE-2026-41709’u istismar edilen açıklar listesi KEV’e ekledi ve ABD federal kurumları için son tarih olarak 11 Kasım’ı belirledi. Aynı gün güvenlik şirketi CrowdStrike, hukuk sektörüne yönelik tehditleri ele alan 2026 raporunu yayımladı. Rapora göre Çin bağlantılı WARP PANDA grubu bu açığı sıfırıncı gün olarak kullandı.

Açığın etkisi

VMware’in CVE kaydına göre ESX’teki açık, kötü niyetli bir yöneticinin bazı işlemleri kayda geçirilmeden yapmasına izin veriyor. Açığın CVSS 3.1 puanı 2.7 ve istismarı yüksek yetki gerektiriyor. CrowdStrike açığı bir “ESXi komut kaydı atlatma açığı” olarak tanımlıyor. The Hacker News’e göre grup açığı, denetim kayıtlarının görünürlüğünü azaltmak amacıyla kullandı.

Açığın CVE kaydı 30 Temmuz’da yayımlandı. The Hacker News’e göre Broadcom açığı Temmuz’da yayımladığı bildirimle kapattı.

WARP PANDA’nın saldırıları

CrowdStrike’ın Eylül 2025 ile Ağustos 2026 arasını kapsayan raporuna göre WARP PANDA, hukuk sektörünü hedef alan başlıca dört Çin bağlantılı gruptan biri. Rapora göre grup, aralarında hukuk sektöründen hedeflerin de bulunduğu ABD’deki çok sayıda kuruma girdi ve kurbanların VMware vCenter ortamlarına çeşitli zararlı yazılımlar yerleştirdi. CrowdStrike, bu olayların birkaçında ve en son 2026 başında grubun CVE-2026-41709’u sıfırıncı gün olarak kullandığını belirtiyor.

The Hacker News’in aktardığı rapora göre grup, internete açık ağ cihazlarını sıfırıncı gün açıklarıyla istismar ediyor ve gizli, kalıcı erişimini özel zararlı yazılımlarla sürdürüyor. Rapora göre grup tespit edilmemek için denetim kayıtlarını atlatıyor, bulut oturum belirteçlerini topluyor ve sahte çok faktörlü kimlik doğrulama cihazları kaydediyor. The Hacker News’e göre grup ilk erişimden sonra VMware vCenter ortamlarına geçerek BRICKSTORM ve SharpStorm gibi özel zararlı yazılımlar yerleştiriyor. The Hacker News, grubun Armory Castle (eski adıyla UNC5221) olarak da izlendiğini yazıyor. Google’ın Mandiant ekibi Armory Castle’ı bu ay BeyondTrust Remote Support’taki bir açığın sıfırıncı gün olarak kullanıldığı saldırılarla ilişkilendirmişti.

Etkilenen ve düzeltilmiş sürümler

• VMware ESX 9.1: ESXi-9.1.0.0-25370933 öncesi
• VMware ESX 9.0: ESXi-9.0.2.0100-25595025 öncesi
• VMware ESX 8.0: ESXi80U3j-25429389 öncesi
• VMware Cloud Foundation 9.1 ve 9.0, ayrıca 5.2.4 öncesi 5.x sürümleri
• VMware vSphere Foundation 9.1 ve 9.0
• VMware Telco Cloud Platform 5.1 ve 5.0

The Hacker News’e göre Cloud Foundation ve vSphere Foundation 9.x’te düzeltme ESXi-9.1.0.0-25370933 ve ESXi-9.0.2.0100-25595025, Cloud Foundation 5.x’te 5.2.4, Telco Cloud Platform’da ESXi80U3j-25429389.

Önerilen önlemler

ESX sunucularını ve ilgili VMware ürünlerini yukarıdaki düzeltilmiş sürümlere güncelleyin. CISA, ABD federal kurumlarının açığı 11 Kasım’a kadar kapatmasını istiyor.