A Agência de Segurança Cibernética e de Infraestrutura dos EUA (CISA) incluiu nesta quarta-feira uma falha de segurança que afeta o Broadcom VMware ESX no seu catálogo de Vulnerabilidades Exploradas Conhecidas (KEV). A medida ocorre depois que a CrowdStrike revelou que a falha foi transformada em arma por um agente de ameaça com vínculos com a China, conhecido como Warp Panda, em ataques contra o setor jurídico dos EUA.
A vulnerabilidade em questão é a CVE-2026-41709 (identificador do sistema Common Vulnerabilities and Exposures, ou Vulnerabilidades e Exposições Comuns), com pontuação de gravidade CVSS (Common Vulnerability Scoring System, ou Sistema de Pontuação de Vulnerabilidades Comuns) de 2,7. Trata-se de um caso de registro insuficiente de eventos (logs), que pode permitir que um agente malicioso com acesso de administrador execute determinadas operações sem que elas sejam registradas.
Em um comunicado divulgado em julho de 2026, a Broadcom informou que o problema foi corrigido nas versões a seguir:
- VMware Cloud Foundation SXi-9.1.0.0-25370933 e ESXi-9.0.2.0100-25595025
- VMware vSphere Foundation SXi-9.1.0.0-25370933 e ESXi-9.0.2.0100-25595025
- VMware ESX ESXi80U3j-25429389
- VMware Cloud Foundation 5.2.4
- VMware Telco Cloud Platform ESXi80U3j-25429389
A divulgação acontece em meio ao Relatório de Panorama de Ameaças Jurídicas 2026 da CrowdStrike, que revelou que o Warp Panda explorou a CVE-2026-41709 como falha de dia zero no início de 2026, com o objetivo de reduzir a visibilidade das trilhas de auditoria.
Segundo o relatório compartilhado com o The Hacker News, o Warp Panda “explora dispositivos de borda voltados para a internet usando vulnerabilidades de dia zero e malware personalizado para manter acesso oculto e persistente”. O documento acrescenta que o agente “contorna ativamente a detecção, burlando o registro de auditoria, coletando tokens de sessão em nuvem e cadastrando dispositivos de autenticação multifator (MFA) não autorizados”.
Histórico do grupo
O agente de ameaça, também monitorado como Armory Castle (anteriormente conhecido como UNC5221), Clay Typhoon e VerdantBamboo, tem um histórico consolidado de transformar em arma falhas de dia zero em dispositivos Citrix NetScaler e Ivanti Connect Secure.
Anteriormente neste mês, a Mandiant, pertencente ao Google, também atribuiu ao grupo a exploração de dia zero de uma falha crítica de validação inadequada de origem no BeyondTrust Remote Support (CVE-2026-102764, pontuação CVSS de 9,3), usada para distribuir famílias de malware como SAWFLY e BARECLAW.
Modo de atuação
As invasões conduzidas pelo Warp Panda envolvem a exploração de dispositivos de borda expostos à internet para obter acesso inicial. Depois disso, o agente avança para ambientes VMware vCenter e instala malware personalizado, como BRICKSTORM e SharpStorm, para manter acesso persistente sem chamar atenção.
Alguns casos também envolveram ataques a serviços em nuvem para extrair tokens de sessão de usuários e acessar ambientes do Microsoft 365 sem disparar alertas baseados em credenciais. Em pelo menos um caso, o Warp Panda teria cadastrado um novo dispositivo MFA em uma conta comprometida como forma de garantir acesso persistente mesmo após a troca da senha.
“O Warp Panda representa uma ameaça de espionagem cibernética sustentada e estrategicamente focada, com vínculos com a China, contra entidades dos EUA em vários setores, incluindo o setor jurídico”, afirmou a CrowdStrike.
“A concentração de comunicações com clientes, materiais de fusões e aquisições, estratégias de litígios em andamento e acesso cruzado a clientes torna o setor jurídico um alvo de coleta de alto valor para um adversário dirigido pelo Estado, que busca informações com utilidade operacional posterior”, completou a empresa.
Diante da exploração ativa da CVE-2026-41709, os órgãos do Poder Executivo Civil Federal (FCEB, na sigla em inglês para Federal Civilian Executive Branch) são orientados a aplicar as correções até 11 de novembro de 2026.
