CVE-2026-41709 en VMware ESX no abre ninguna puerta. Su trabajo es otro, más silencioso: permite que un actor con acceso de administrador ejecute ciertas operaciones sin que queden anotadas en el registro del sistema. La Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos, la CISA, sumó el fallo el miércoles 28 de octubre a su catálogo de vulnerabilidades explotadas conocidas, el KEV, con plazo de corrección federal fijado el 11 de noviembre de 2026.
El ingreso al catálogo llegó tras la revelación de CrowdStrike: un actor con nexo en China, rastreado como Warp Panda, explotó CVE-2026-41709 en VMware ESX como vulnerabilidad de día cero a principios de 2026, antes de que existiera parche, en intrusiones contra organizaciones de Estados Unidos con foco en el sector legal. El objetivo no era tumbar servidores. Era moverse dentro sin dejar el rastro que los equipos de respuesta revisan primero.
Un 2,7 que dormía al fondo de la cola de parches
Broadcom, propietaria de VMware, califica el fallo con una nota CVSS de apenas 2,7, gravedad baja. La descripción suena menor: registro insuficiente en la auditoría del hipervisor ESX, la capa que sostiene las máquinas virtuales de un centro de datos. Broadcom lo divulgó el 29 de julio de 2026 junto a tres fallos críticos y uno alto en vCenter, ESXi, Workstation y Fusion, con las correcciones en esa misma entrega.
Una nota de 2,7 compite mal por la atención de un equipo de sistemas. En una bandeja con decenas de avisos, primero salen los de ejecución remota de código con notas de 9 para arriba; un fallo de registro espera turno. Para un espía, la cuenta sale al revés: permanecer meses dentro de una red ajena exige que nadie reconstruya los pasos dados, y un hipervisor que no anota ciertas operaciones de administrador entrega justo ese silencio.
El detalle que ordena la escena es el requisito previo. CVE-2026-41709 pide acceso de administrador, así que no sirve como puerta de entrada. Sirve después, cuando el atacante ya robó credenciales o controla la consola, para que las acciones siguientes no aparezcan en la bitácora. SecurityWeek lo contó en seco: lo usaron en silencio, aprovechando que nadie parchea con prisa un fallo menor.
Warp Panda escogió despachos de abogados
CrowdStrike detalló la campaña en su informe 2026 Legal Threat Landscape Report, compartido con The Hacker News. Warp Panda suele entrar por equipos de borde expuestos a internet, con vulnerabilidades de día cero y programas maliciosos hechos a medida, y de ahí gira hacia VMware vCenter, la consola que administra los hipervisores. En intrusiones de 2025 instaló piezas como BrickStorm, TetanusStorm, SharpStorm, DualGauge y GuestConduit para quedarse dentro sin llamar la atención.
En varias de esas intrusiones, y todavía a principios de 2026, el grupo usó el fallo de registro para reducir la visibilidad de la pista de auditoría. El repertorio incluía otras dos maniobras de permanencia: robar fichas de sesión en la nube para entrar a Microsoft 365 sin disparar alertas de credenciales y, en al menos un caso, registrar un dispositivo nuevo de autenticación multifactor en una cuenta comprometida, un ancla que sobrevive aunque la víctima cambie la contraseña.
El actor carga una lista larga de nombres: Armory Castle, antes UNC5221, Clay Typhoon y VerdantBamboo identifican al mismo grupo. Su historial incluye día cero en equipos Citrix NetScaler e Ivanti Connect Secure. En ese historial reciente figura la falla día cero de BeyondTrust Remote Support, que Mandiant, la firma de Google, atribuyó a Warp Panda a principios de octubre, con programas como SAWFLY y BARECLAW.
La elección del sector legal tiene explicación propia en el informe de CrowdStrike. Un despacho concentra comunicaciones con clientes, material de fusiones y adquisiciones, estrategia de litigios y accesos que cruzan de un cliente a otro. Para un adversario dirigido por un Estado, ese archivo vale como inteligencia con uso operativo posterior. Un despacho vulnerado abre la correspondencia de decenas de empresas que ignoran que su información estaba allí.
CVE-2026-41709 en VMware ESX: versiones corregidas y plazo del 11 de noviembre
Broadcom corrigió el fallo en las versiones ESXi-9.1.0.0-25370933, ESXi-9.0.2.0100-25595025 y ESXi80U3j-25429389, con entregas equivalentes para VMware Cloud Foundation y vSphere Foundation, incluida Cloud Foundation 5.2.4. Las agencias federales civiles deben aplicar la corrección antes del 11 de noviembre de 2026 por la entrada en el KEV. Las empresas privadas no cargan esa obligación, aunque el catálogo funciona como la lista que separa lo urgente de lo aplazable.
Parchear solo el fallo de registro sería quedarse corto. SecurityWeek informó que otros dos defectos del paquete de Broadcom del 29 de julio ya fueron atacados en redes reales: CVE-2026-59309, un salto de autenticación crítico, y CVE-2026-59310, un recorrido de directorios que permite ejecutar código arbitrario. A mediados de agosto, la firma Quirso contó unos 360 servidores vCenter accesibles desde la web comprometidos con CVE-2026-59310 para instalar un túnel SSH inverso.
La revisión práctica va en dos pisos. Primero, confirmar que cada hipervisor ESX y cada vCenter corre una versión corregida del paquete completo de julio. Después, buscar huecos: tramos sin registros a principios de 2026, dispositivos de autenticación multifactor que nadie reconoce y fichas de sesión usadas desde lugares imposibles. Un registro con un agujero no prueba que no pasó nada; prueba que, durante ese tramo, nadie miraba. El reloj de la CISA marca 13 días hasta el 11 de noviembre.
Fuente: SecurityWeek
Foto: SecurityWeek
