A CrowdStrike relatou em 28 de outubro de 2026 que o grupo WARP PANDA, que ela associa à China, usou como zero day uma falha do VMware ESX para operar sem deixar registro nos servidores invadidos. A CVE-2026-41709 tem nota 2,7 na escala CVSS 3.1 e entrou no catálogo de falhas exploradas da CISA no mesmo dia, com prazo em 11 de novembro.
O registro da Broadcom descreve uma falha de log insuficiente: um administrador mal-intencionado executa certas operações sem que elas apareçam nos registros. Pelo vetor publicado, a exploração exige privilégio alto e produz impacto apenas de integridade. Não é execução remota de código e não entrega privilégio administrativo por si.
O valor da falha está no que ela esconde. Quem já tem acesso de administrador no hipervisor passa a operar sem deixar a trilha que o time de resposta usaria para reconstruir o incidente. A Broadcom não lista quais operações deixam de ser registradas, e o registro não indica que a falha apague logs já gravados.
A exploração aparece no relatório da CrowdStrike sobre ameaças ao setor jurídico, publicado em 28 de outubro, que cobre de 1 de setembro de 2025 a 31 de agosto de 2026. A empresa atribui o uso a invasões de espionagem contra organizações americanas desse setor, com atividade que avançou no início de 2026.
A descoberta saiu da própria CrowdStrike, e a Broadcom credita o pesquisador Ian Barton pelo reporte. Segundo a empresa, o grupo distribuiu malware em ambientes de vCenter das vítimas, e a caçada recomendada inclui os malwares BRICKSTORM e SharpStorm, tokens de sessão de nuvem roubados e registros de segundo fator sem autorização.
As correções da Broadcom vêm por build, não por número de versão simples. As compilações corrigidas são a ESXi-9.1.0.0-25370933, a ESXi-9.0.2.0100-25595025 e a ESXi80U3j-25429389. Para o VMware Cloud Foundation na linha 5, a orientação é a atualização 5.2.4. Não há mitigação alternativa publicada.
O caso é um argumento contra priorizar fila de correção só pela nota. Uma falha de 2,7 que atrapalha apenas a auditoria não entra em lista de críticas, e foi ela que um grupo de espionagem escolheu usar antes de existir correção. Para quem administra ESX, a verificação pendente é se o build instalado está entre os corrigidos e se os registros do hipervisor são enviados para fora do ambiente, porque auditoria guardada só no equipamento comprometido serve de pouco.
