Hackers hebben actief misbruik gemaakt van een kwetsbaarheid in VMware ESXi om hun sporen te verbergen, zo melden het Amerikaanse cyberagentschap CISA en cybersecuritybedrijf CrowdStrike. De kwetsbaarheid (CVE-2026-41709) bevindt zich in verschillende VMware-onderdelen en maakt het mogelijk voor een malafide admin om bepaalde acties uit te voeren, zonder dat die worden gelogd.

ESXi, onderdeel van VMware's vSphere, is een 'bare metal hypervisor' voor het virtualiseren van besturingssystemen. De virtualisatiesoftware wordt direct op een server geïnstalleerd en kan vervolgens het gevirtualiseerde besturingssysteem laden. Op 29 juli dit jaar kwam Broadcom met beveiligingsupdates voor de logging-kwetsbaarheid in ESXi, nadat het eerder was ingelicht door CrowdStrike.

CVE-2026-41709 heeft een CVSS-impactscore van 2.7 op een schaal van 1 tot en met 10. Toch was de kwetsbaarheid interessant genoeg voor aanvallers om te misbruiken. Volgens CrowdStrike heeft een groep genaamd 'Warp Panda' sinds begin dit jaar van het lek gebruikgemaakt om bij aangevallen organisaties geen 'audit trail' achter te laten. Om misbruik van de kwetsbaarheid te kunnen maken moet een aanvaller al toegang tot de ESXi-omgeving hebben. Hoe dat werd gedaan bij de aanvallen waarbij CVE-2026-41709 werd ingezet laat CrowdStrike niet weten.

Het Amerikaanse cyberagentschap CISA meldt ook dat aanvallers misbruik van CVE-2026-41709 maken, maar geeft geen details over de aanvallen. VMware ESXi en ESX zijn geregeld het doelwit van aanvallen. Het CISA is bekend met acht verschillende kwetsbaarheden die de afgelopen jaren bij aanvallen tegen de platforms zijn ingezet. VMware vCenter, dat in combinatie met ESXi wordt gebruikt, telt twaalf aangevallen kwetsbaarheden waardoor aanvallers dergelijke omgevingen op afstand kunnen overnemen.