CrowdStrike melaporkan bahwa Warp Panda, kelompok peretas yang dikaitkan dengan China, memakai celah CVE-2026-41709 di VMware ESX sebagai zero-day hingga awal 2026. Temuan itu tercantum dalam Legal Threat Landscape Report 2026 yang terbit 28 Oktober 2026. Menurut The Hacker News, CISA menambahkan celah tersebut ke katalog celah yang dieksploitasi (KEV) pada tanggal yang sama.
Celah kecil yang dipakai untuk menutup jejak
Broadcom menggambarkan CVE-2026-41709 sebagai celah pencatatan log yang tidak memadai. Skornya hanya 2,7 (rendah) pada CVSS karena penyerang harus sudah memegang hak administrator. Dengan hak itu, administrator berniat jahat bisa menjalankan operasi tertentu tanpa tercatat di log. Advisori Broadcom VMSA-2026-0006 terbit 29 Juli 2026 dan diperbarui 19 Agustus 2026. Dokumen itu tidak menyebut adanya eksploitasi, jadi klaim serangan berasal dari CrowdStrike.
Skor rendah tidak berarti risikonya kecil. The Hacker News menulis bahwa Warp Panda masuk lewat perangkat tepi yang terhubung ke internet, lalu berpindah ke lingkungan VMware vCenter dan memasang malware BRICKSTORM dan SharpStorm agar akses bertahan. Pada sebagian insiden, kelompok ini mencuri token sesi cloud untuk masuk ke Microsoft 365 dan mendaftarkan perangkat MFA baru. Sektor hukum di Amerika Serikat menjadi sasaran karena data klien dan dokumen merger bernilai tinggi. Celah log di ESX membantu pelaku menyembunyikan langkahnya dari pemeriksa.
Versi terdampak dan versi perbaikan
Broadcom mencatat produk terdampak berupa VMware Cloud Foundation dan vSphere Foundation 9.1.x.x serta 9.0.x.x, ESX 8.0, VMware Cloud Foundation 5.x, dan Telco Cloud Platform 5.0.x serta 5.1.x. Perbaikannya adalah ESXi-9.1.0.0-25370933 untuk cabang 9.1, ESXi-9.0.2.0100-25595025 untuk cabang 9.0, ESXi80U3j-25429389 untuk ESX 8.0, dan VMware Cloud Foundation 5.2.4. Pengguna Telco Cloud Platform diarahkan ke artikel KB449886. Broadcom menyatakan tidak ada solusi sementara. Menurut The Hacker News, lembaga sipil federal AS harus menuntaskan perbaikan paling lambat 11 November 2026.
Langkah yang perlu diambil pembaca
Tim infrastruktur yang menjalankan ESX perlu memasang build perbaikan di atas, karena tidak ada cara lain untuk menutup celah ini. Karena celahnya justru melemahkan log, log ESX saja tidak cukup sebagai bukti bahwa host bersih. Periksa juga log vCenter, daftar akun administrator, serta pendaftaran perangkat MFA baru di Microsoft 365. Pembatasan akses ke antarmuka manajemen dan perangkat tepi tetap penting, sebab serangan ini dimulai dari sana. CISA juga menambahkan celah kernel Linux Fragnesia ke katalog yang sama pada 28 Oktober, sehingga tim yang mengelola host Linux dan virtualisasi sekaligus punya dua perbaikan untuk dijadwalkan.
Sumber: The Hacker News, advisori Broadcom VMSA-2026-0006, dan laporan CrowdStrike. Gambar: The Hacker News.