China-nahe Hacker nutzten VMware-ESX-Zero-Day, um Audit-Protokolle unsichtbar zu machen

Was passiert ist

Die Cybersecurity and Infrastructure Security Agency (CISA) hat am Mittwoch eine Sicherheitslücke bei Broadcom VMware ESX in ihren Katalog bekannter ausgenutzter Schwachstellen (Known Exploited Vulnerabilities, KEV) aufgenommen, nachdem CrowdStrike enthüllt hatte, dass ein China-naher Bedrohungsakteur (die Person oder Gruppe hinter einem Angriff) namens Warp Panda sie bei Angriffen auf die USA eingesetzt hat. China-nahe Hacker nutzten VMware-ESX-Zero-Day, um Audit-Protokolle unsichtbar zu machen Ravie Lakshmanan 29. Okt. 2026 Schwachstelle / Cyberspionage Broadcom ist ein Halbleiterunternehmen mit Sitz in Irvine.

Warp Panda verschafft sich Erstzugriff, indem die Gruppe internetexponierte Edge-Geräte ausnutzt. Danach wechselt der Akteur zu VMware-vCenter-Umgebungen, um eigene Malware wie BRICKSTORM und SharpStorm zu installieren und so unbemerkt dauerhaften Zugriff zu halten.

Bei der Lücke handelt es sich um CVE-2026-41709 (CVSS-Wert: 2,7), eine Schwachstelle durch unzureichende Protokollierung, die einem böswilligen Akteur mit Administratorzugriff erlaubt, bestimmte Operationen ohne Protokollierung durchzuführen. Warp Panda "nutzt internetexponierte Edge-Geräte aus, indem Zero-Day-Schwachstellen und eigens entwickelte Malware eingesetzt werden, um verdeckten, dauerhaften Zugriff aufrechtzuerhalten", heißt es in dem Bericht, der The Hacker News vorliegt. Der Angreifer "umgeht aktiv die Erkennung, indem er die Audit-Protokollierung umgeht, Cloud-Sitzungstoken abgreift und nicht autorisierte Geräte für die Multi-Faktor-Authentifizierung (MFA) registriert".

Der Bedrohungsakteur, der auch als Armory Castle (früher UNC5221), Clay Typhoon und VerdantBamboo verfolgt wird, hat eine lange Geschichte der Ausnutzung von Zero-Day-Schwachstellen in Citrix NetScaler- und Ivanti Connect Secure-Geräten.