China-Linked Hackers Exploited VMware ESX Zero-Day to Reduce Audit Trail Visibility

La agencia de ciberseguridad de Estados Unidos (CISA) incluyó la vulnerabilidad CVE-2026-41709 en su catálogo de fallos explotados activamente. Según informes de CrowdStrike, el grupo de hackers Warp Panda (también conocido como Armory Castle o Clay Typhoon) utilizó este fallo de día cero —un error descubierto y explotado antes de que existiera un parche— para reducir la visibilidad de los registros de auditoría en ataques contra el sector legal estadounidense.

El fallo, clasificado con una severidad baja (CVSS 2.7) debido a que requiere acceso de administrador, permite que un atacante realice operaciones sin que estas queden registradas en los archivos de auditoría del sistema. Esto facilita que el atacante mantenga un acceso persistente y oculto, permitiéndole además recolectar tokens de sesión en la nube y registrar dispositivos de autenticación de múltiples factores (MFA) falsos para evitar ser detectado incluso si se cambia la contraseña.

Broadcom ya ha lanzado actualizaciones para mitigar este problema. Las versiones afectadas incluyen VMware Cloud Foundation, ESXi y vSphere Foundation. Se recomienda a los administradores de sistemas revisar sus versiones y aplicar los parches en las siguientes ramas: VMware Cloud Foundation SXi-9.1.0.0-25370933, ESXi-9.0.2.0100-25595025 y ESXi80U3j-25429389.

Qué significa para una pyme colombiana y cucuteña: Si su empresa utiliza entornos de virtualización VMware para gestionar sus servidores, verifique de inmediato la versión de su software ESXi o vSphere. Aunque el fallo se califica como de 'baja severidad' porque requiere permisos de administrador, el riesgo real es que un atacante que ya esté dentro de su red pueda borrar sus huellas, haciendo que sea imposible saber qué información robó o qué cambios hizo. Actualice a las versiones mencionadas en el reporte para asegurar que sus registros de auditoría sean confiables.