سازمان امنیت سایبری و زیرساخت آمریکا (CISA) اخیراً یک نقص امنیتی در Broadcom VMware ESX را به فهرست آسیب‌پذیری‌های شناخته‌شده و مورد بهره‌برداری (KEV) اضافه کرد. این اقدام پس از آن صورت گرفت که شرکت CrowdStrike فاش کرد یک عامل تهدید (Threat Actor) مرتبط با چین به نام Warp Panda، از این نقص برای هدف قرار دادن بخش حقوقی ایالات متحده استفاده کرده است.
جزئیات فنی آسیب‌پذیری
آسیب‌پذیری مورد بحث با شناسه CVE-2026-41709 و امتیاز CVSS 2.7 شناخته می‌شود. این نقص از نوع «ثبت نامناسب لاگ‌ها» (Insufficient Logging) است و به یک مهاجم با دسترسی مدیریت (Admin) اجازه می‌دهد تا عملیات‌های خاصی را بدون ثبت در ردپای حسابرسی (Audit Trail) انجام دهد و در نتیجه، فعالیت‌های خود را مخفی نگه دارد.
تاکتیک‌ها و تکنیک‌های Warp Panda
بر اساس گزارش CrowdStrike، گروه Warp Panda از این آسیب‌پذیری به عنوان یک زیرو دِی در اوایل سال ۲۰۲۶ استفاده کرده است تا دیداری را که سیستم‌های نظارتی بر فعالیت‌های آن‌ها دارند، کاهش دهد. این عامل تهدید که با نام‌های Armory Castle، Clay Typhoon و VerdantBamboo نیز شناخته می‌شود، از روش‌های زیر برای حفظ دسترسی مخفیانه و مداوم استفاده می‌کند:
- بهره‌برداری از دستگاه‌های Edge متصل به اینترنت با استفاده از آسیب‌پذیری‌های Zero-Day و بدافزارهای سفارشی.
- دور زدن سیستم‌های شناسایی از طریق غیرفعال کردن یا بای‌پس کردن لاگ‌های حسابرسی.
- سرقت توکن‌های نشست ابری (Cloud Session Tokens) برای دسترسی به محیط‌های Microsoft 365 بدون ایجاد هشدار مربوط به اعتبارنامه‌ها.
- ثبت دستگاه‌های احراز هویت چندعاملی (MFA) جعلی برای تضمین دسترسی دائمی، حتی در صورت تغییر رمز عبور.
گسترش حملات و بدافزارهای مورد استفاده
این گروه سابقه طولانی در بهره‌برداری از نقص‌های امنیتی در تجهیزات Citrix NetScaler و Ivanti Connect Secure دارد. همچنین گزارش شده است که آن‌ها از آسیب‌پذیری بحرانی در BeyondTrust Remote Support (شناسه CVE-2026-102764 با امتیاز CVSS 9.3) برای توزیع خانواده‌های بدافزاری مانند SAWFLY و BARECLAW استفاده کرده‌اند.
در جریان حملات، Warp Panda پس از دسترسی اولیه به دستگاه‌های Edge، به محیط‌های VMware vCenter نفوذ کرده و بدافزارهای سفارشی نظیر BRICKSTORM و SharpStorm را برای حفظ دسترسی (Persistence) مستقر می‌کند.
توصیه‌های امنیتی
با توجه به بهره‌برداری فعال از CVE-2026-41709، به مدیران SOC و مهندسین امنیت توصیه می‌شود سریعاً به‌روزرسانی‌های منتشر شده توسط Broadcom را اعمال کنند تا از احتمال نفوذ و حذف ردپای مهاجمان در محیط‌های مجازی‌سازی شده جلوگیری شود.
