VMware ESX: CISA confirma exploração da falha de log; correção no VMSA-2026-0006

O que aconteceu

A CISA incluiu em 28 de outubro a falha CVE-2026-41709 do VMware ESX no catálogo KEV, de vulnerabilidades exploradas. Segundo o CrowdStrike, o grupo ligado à China Warp Panda usou a falha como zero-day para executar ações sem deixar registros, inclusive em escritórios de advocacia dos EUA. A Broadcom já lançou correção, no aviso VMSA-2026-0006.

Por que importa

A falha entra em cena depois do acesso: ela esconde as ações do atacante que já obteve conta de administrador, cortando a trilha de auditoria. A empresa comprometida pode demorar a detectar a invasão e ter dificuldade de provar o que foi acessado. A CISA lista o uso em ransomware como desconhecido.

O que fazer

Aplicar o VMSA-2026-0006: builds ESXi-9.1.0.0-25370933, ESXi-9.0.2.0100-25595025 ou ESXi80U3j-25429389 ou mais novas. Revisar quem tem direitos de administrador no ESX e comparar a atividade do host com os logs do vCenter e de rede.

Para o time técnico

CVE

CVE-2026-41709

Afetados

Broadcom VMware ESX · VMware ESX/ESXi. A falha foi divulgada em 29 de julho, junto de três críticas e uma de severidade alta no VMware vCenter, ESXi, Workstation e Fusion.

Exploração

Confirmada: a CISA listou a CVE-2026-41709 no KEV em 28 de outubro, com prazo federal em 11 de novembro. O CrowdStrike relatou uso como zero-day pelo grupo com nexo na China Warp Panda em invasões a organizações dos EUA, incluindo escritórios de advocacia, ao longo de 2025 e até o início de 2026. Uso em ransomware: desconhecido, segundo o KEV.

Correção

VMSA-2026-0006, da Broadcom. Patches nas builds ESXi-9.1.0.0-25370933, ESXi-9.0.2.0100-25595025 e ESXi80U3j-25429389 e lançamentos mais novos.

Vetor

VMware ESX/ESXi, falha de log insuficiente (severidade baixa, segundo a SecurityWeek). Exige privilégios de administrador; com isso, o atacante executa certas operações sem que sejam registradas em log, reduzindo a visibilidade da trilha de auditoria.

Mais detalhes

Segundo o CrowdStrike, o Warp Panda costuma obter acesso inicial por dispositivos de borda expostos à internet e pivota para o vCenter, onde implantou os malwares listados. Outras duas falhas dos avisos de 29 de julho também foram exploradas na natureza: CVE-2026-59309 (bypass de autenticação, crítica) e CVE-2026-59310 (directory traversal com execução arbitrária de código, crítica); a Quirso relatou em meados de agosto cerca de 360 servidores vCenter acessíveis na web comprometidos via CVE-2026-59310, com SSH reverse shell, e atribuiu a atividade a ator ligado à China. A mesma atualização do KEV de 28 de outubro listou a falha do kernel Linux Fragnesia, CVE-2026-46300, com prazo em 31 de outubro.

Linha do tempo

1. 30/10/2026 02:17

   CISA formaliza em 28 de outubro a inclusão no KEV, e o item confirma correção já disponível no aviso VMSA-2026-0006 da Broadcom, com prazo federal em 11 de novembro.

2. 29/10/2026 05:04

   SecurityWeek detalha que a falha, de severidade baixa, foi usada como zero-day por hackers chineses: o CVE-2026-41709 permite que invasores com privilégios administrativos executem operações sem deixar registros de log.

3. 29/10/2026 03:56

   CrowdStrike detalha que os ataques visaram o setor jurídico dos EUA, e a CISA inclui o CVE-2026-41709 no catálogo KEV.

Quer as próximas atualizações no seu e-mail? Inscreva-se na edição diária →

Ver todas as 5 atualizações

1. 29/10/2026 03:27

   CrowdStrike atribui os ataques ao grupo ligado à China Warp Panda, que visou o setor jurídico dos EUA.

2. 28/10/2026 16:25

   Entrada nova no KEV lista a CVE-2026-41709 com prazo federal de aplicação em 11 de novembro de 2026.

Fontes 5 fontes

• CVE-2026-41709: Broadcom VMware ESX (Broadcom VMWare ESX Insufficient Logging Vulnerability) CISA KEV
• @TheHackersNews @TheHackersNews
• China-Linked Hackers Exploited VMware ESX Zero-Day to Reduce Audit Trail Visibility The Hacker News
• Chinese Hackers Quietly Used Low-Severity ESXi Logging Flaw as Zero-Day SecurityWeek
• @DailyDarkWeb @DailyDarkWeb

Ver todas as notícias