中國勢力駭客利用 VMware ESX 零日漏洞降低審計可見度
China-Linked Hackers Exploited VMware ESX Zero-Day to Reduce Audit Trail Visibility
VMware ESX 的 CVE-2026-41709 零日漏洞被中國勢力「Warp Panda」利用，能在擁有管理許可權時不被記錄操作。
- 影響範圍：該漏洞影響 VMware Cloud Foundation 5.2.4、ESXi 9.0.2 及其衍生版本。
此漏洞被中國勢力利用，提醒企業務必升級 VMware ESX 以防止審計隱匿，並監控異常活動降低風險。
Ravie LakshmananOct 29, 2026漏洞 / 網路間諜
美國網路安全與基礎建設安全域性（CISA）於週三新增一項影響 Broadcom VMware ESX 的安全缺陷至其已知被利用漏洞（KEV）目錄，因為 CrowdStrike 揭露該缺陷已被中國相關威脅行為者 Warp Panda 武器化，並用於針對美國法律產業的攻擊。
該漏洞為 CVE-2026-41709（CVSS 分數：2.7），是一項日誌不足的漏洞，可能允許具有管理員存取許可權的惡意行為者在未被記錄的情況下執行某些操作。
在 2026 年 7 月發布的通告中，Broadcom 表示該問題已在 修正於 以下版本 -
- VMware Cloud Foundation SXi-9.1.0.0-25370933 and ESXi-9.0.2.0100-25595025
- VMware vSphere Foundation SXi-9.1.0.0-25370933 and ESXi-9.0.2.0100-25595025
- VMware ESX ESXi80U3j-25429389
- VMware Cloud Foundation 5.2.4
- VMware Telco Cloud Platform ESXi80U3j-25429389
此項發展是對 CrowdStrike 於 2026 年發布的法律威脅概況報告的回應，該報告揭示 Warp Panda 在 2026 年初將 CVE-2026-41709 作為零日漏洞利用，目的是降低審計追蹤可見性。
"Warp Panda \"利用面向網路的邊緣裝置，使用零日漏洞與自訂惡意程式以維持潛伏、持續存取，\" 其在與 The Hacker News 分享的報告中表示，並補充說對手 \"積極迴避偵測，透過繞過審計記錄、竊取雲端會話憑證，以及註冊惡意多因素驗證（MFA）裝置。\"
該威脅行為者亦被追蹤為 Armory Castle（前稱 UNC5221）、Clay Typhoon 與 VerdantBamboo，擁有在 Citrix NetScaler 與 Ivanti Connect Secure 裝置中武器化零日漏洞的悠久歷史。
本月早些時候，Google 所屬的 Mandiant 亦將該駭客團隊歸因於對 BeyondTrust Remote Support 中關鍵錯誤來源驗證的零日利用（CVE-2026-102764，CVSS 分數：9.3），以傳送 SAWFLY 與 BARECLAW 等惡意程式族群。
Warp Panda 發動的攻擊涉及利用面向網路的邊緣裝置取得初始存取，隨後威脅行為者轉向 VMware vCenter 環境，部署自訂惡意程式如 BRICKSTORM 與 SharpStorm，以維持持續存取而不引起注意。
部分入侵亦涉及針對雲端服務以擷取使用者會話憑證，進而存取 Microsoft 365 環境，且不會觸發任何憑證相關警示。在至少一個案例中，Warp Panda 被稱已在被駭帳號上註冊新 MFA 裝置，以即使密碼變更仍能維持持續存取。
"Warp Panda 代表了一個持續且策略性聚焦於中國相關的網路間諜威脅，針對美國跨多個產業的實體，包含法律產業，\" CrowdStrike 表示。
"法律產業聚焦於客戶通訊、併購資料、活躍訴訟策略及跨客戶存取，因而成為國家指揮對手尋求具有後續作業效用情報的高價值收集目標。"
鑑於 CVE-2026-41709 正在被積極利用，建議聯邦民用行政部門（FCEB）機構於 2026 年 11 月 11 日前套用修復。
覺得這篇文章有趣嗎？請在 Google News、Twitter 與 LinkedIn 追蹤我們，閱讀更多我們發布的獨家內容。