La Agencia de Ciberseguridad y Seguridad de las Infraestructuras de Estados Unidos (CISA) incorporó el miércoles a su catálogo de Vulnerabilidades Explotadas Conocidas (KEV) una falla que afecta a Broadcom VMware ESX. La medida se adoptó tras la revelación de CrowdStrike de que el actor de amenazas vinculado a China Warp Panda explotó la vulnerabilidad en campañas dirigidas contra el sector legal estadounidense.
Detalles de la vulnerabilidad
Se trata de CVE-2026-41709, con una puntuación CVSS de 2.7. Es un fallo de registro insuficiente que permitiría a un atacante con privilegios de administrador ejecutar ciertas operaciones sin que queden registradas. En un aviso publicado en julio de 2026, Broadcom informó que el problema fue corregido en las siguientes versiones:
- VMware Cloud Foundation SXi-9.1.0.0-25370933 y ESXi-9.0.2.0100-25595025
- VMware vSphere Foundation SXi-9.1.0.0-25370933 y ESXi-9.0.2.0100-25595025
- VMware ESX ESXi80U3j-25429389
- VMware Cloud Foundation 5.2.4
- VMware Telco Cloud Platform ESXi80U3j-25429389
La explotación como zero-day
La novedad surge a partir del Informe sobre el Panorama de Amenazas en el Sector Legal de 2026 de CrowdStrike, que reveló que Warp Panda explotó CVE-2026-41709 como zero-day a comienzos de 2026 con el objetivo de reducir la visibilidad de los registros de auditoría. Según el informe compartido con The Hacker News, el grupo "explotó dispositivos perimetrales expuestos a internet mediante vulnerabilidades de día cero y malware personalizado para mantener un acceso encubierto y persistente", y además "elude activamente la detección sorteando el registro de auditoría, recolectando tokens de sesión en la nube y registrando dispositivos de autenticación multifactor (MFA) no autorizados".
Este actor de amenazas, también rastreado como Armory Castle (antes UNC5221), Clay Typhoon y VerdantBamboo, tiene un historial consolidado en el uso de vulnerabilidades de día cero en dispositivos Citrix NetScaler e Ivanti Connect Secure.
Otras campañas y tácticas
A comienzos de este mes, Mandiant, propiedad de Google, también atribuyó al grupo la explotación como zero-day de una vulnerabilidad crítica de validación de origen incorrecta en BeyondTrust Remote Support (CVE-2026-102764, puntuación CVSS de 9.3) para desplegar familias de malware como SAWFLY y BARECLAW.
Los ataques de Warp Panda consisten en explotar dispositivos perimetrales expuestos a internet para obtener acceso inicial; después, el actor se desplaza a entornos VMware vCenter para desplegar malware personalizado como BRICKSTORM y SharpStorm y así mantener un acceso persistente sin llamar la atención. Algunas intrusiones también han apuntado a servicios en la nube con el fin de extraer tokens de sesión de usuario y acceder a entornos de Microsoft 365 sin generar alertas basadas en credenciales. En al menos un caso, se afirma que Warp Panda registró un nuevo dispositivo MFA en una cuenta comprometida para establecer un acceso persistente incluso si se cambia la contraseña.
Valor estratégico del sector legal
Warp Panda representa una amenaza sostenida y estratégicamente orientada de ciberespionaje vinculada a China contra entidades estadounidenses de múltiples sectores, incluido el legal. La concentración en el sector legal de comunicaciones con clientes, materiales de fusiones y adquisiciones, estrategias de litigio activas y acceso a múltiples clientes lo convierte en un objetivo de recolección de alto valor para un adversario dirigido por el Estado que busca inteligencia con utilidad operativa posterior.
Ante la explotación activa de CVE-2026-41709, se recomienda a las agencias federales del Poder Ejecutivo Civil (FCEB) aplicar las correcciones antes del 11 de noviembre de 2026.
Deja una respuesta