La Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA) incluyó la vulnerabilidad CVE-2026-41709 de Broadcom VMware ESX en su catálogo KEV, la lista de fallas con explotación activa confirmada. CrowdStrike reveló que el grupo de espionaje Warp Panda, vinculado a China, la usó como zero-day contra firmas de abogados en Estados Unidos. Afecta a cualquier organización que virtualice sus servidores con VMware, un escenario muy común en empresas de Colombia y Latinoamérica.
La falla tiene una puntuación CVSS de apenas 2.7. CVSS es la escala estándar que mide la gravedad técnica de una vulnerabilidad. Se trata de un registro insuficiente: un atacante con acceso de administrador puede ejecutar ciertas operaciones sin que queden en los logs. Por sí sola no da acceso al sistema. Su valor para el atacante está en borrar su rastro después de haber entrado. Según CrowdStrike, Warp Panda la explotó a comienzos de 2026 precisamente para reducir la visibilidad de la auditoría.
El patrón de ataque es consistente. Warp Panda compromete equipos de borde expuestos a internet, como VPN y accesos remotos, mediante fallas zero-day. Este mismo actor, también conocido como UNC5221, Clay Typhoon o VerdantBamboo, ha explotado antes Citrix NetScaler, Ivanti Connect Secure y BeyondTrust Remote Support (CVE-2026-102764, CVSS 9.3). Luego salta a vCenter, la consola que administra los servidores virtuales, e instala puertas traseras como BRICKSTORM y SharpStorm. En algunos casos robó tokens de sesión para entrar a Microsoft 365 sin activar alertas de credenciales. También registró un dispositivo de autenticación multifactor (MFA) propio en una cuenta comprometida, lo que le garantizaba acceso aun después de un cambio de contraseña.
Broadcom corrigió la falla en julio de 2026 en estas versiones:
- VMware Cloud Foundation SXi-9.1.0.0-25370933 y ESXi-9.0.2.0100-25595025
- VMware vSphere Foundation SXi-9.1.0.0-25370933 y ESXi-9.0.2.0100-25595025
- VMware ESX ESXi80U3j-25429389
- VMware Cloud Foundation 5.2.4
- VMware Telco Cloud Platform ESXi80U3j-25429389
CISA fijó el 11 de noviembre de 2026 como plazo para que las agencias federales apliquen el parche, y conviene adoptar esa misma fecha como referencia. Además de actualizar, recomendamos varias medidas: restringir el acceso administrativo a ESXi y vCenter a una red de gestión aislada; revisar las cuentas con privilegios de administrador; auditar los dispositivos MFA registrados en Microsoft 365 y eliminar los que no se reconozcan; y parchear con prioridad los equipos de borde expuestos a internet. Las notas de Broadcom detallan las versiones corregidas.
Qué significa para tu empresa: una puntuación CVSS baja no equivale a un riesgo bajo cuando la falla sirve para ocultar una intrusión. Esta semana, confirme las versiones de ESXi y vCenter en producción y programe la actualización. Verifique también que los registros del hipervisor se envíen en tiempo real a una plataforma de analítica de logs externa. Así, aunque un atacante manipule la auditoría local, la evidencia queda fuera de su alcance y su equipo puede detectar actividad anómala.
Fuente original: The Hacker News — ver artículo →