VMware ESX CVE-2026-41709: falla di logging da CVSS 2.7 sfruttata come zero-day per nascondere i comandi sull'hyperviso

La CVE-2026-41709 è una vulnerabilità di registrazione insufficiente (insufficient logging) in VMware ESX, l'hypervisor di Broadcom: un amministratore malintenzionato può eseguire alcune operazioni senza che vengano registrate. Broadcom l'ha corretta il 29 luglio 2026 con l'advisory VMSA-2026-0006 e le ha assegnato un CVSS v3.1 di appena 2.7, perché da sola non dà accesso al sistema né privilegi: serve essere già amministratori. Il 28 ottobre la CISA l'ha inserita nel catalogo KEV per sfruttamento attivo, con scadenza di remediation all'11 novembre 2026 per le agenzie federali statunitensi, e il 30 ottobre ACN ha pubblicato un alert per lo sfruttamento rilevato in rete. Il punteggio basso misura il danno diretto della falla. Per chi ha già preso il controllo di un hypervisor, invece, poter agire senza lasciare traccia vale molto.

A scoprirla è stato Ian Barton di CrowdStrike, che l'aveva segnalata a Broadcom. Nel rapporto 2026 sulle minacce al settore legale, pubblicato a fine ottobre, CrowdStrike scrive che il gruppo di spionaggio legato alla Cina che chiama Warp Panda l'ha sfruttata come zero-day in diverse intrusioni contro organizzazioni statunitensi, fra cui studi legali, l'ultima all'inizio del 2026. Lì la falla è descritta come un aggiramento della registrazione dei comandi su ESXi, usato per ridurre di molto la visibilità delle tracce di audit. Secondo CrowdStrike il gruppo entra di solito da apparati perimetrali esposti su Internet e si sposta poi negli ambienti vCenter, dove installa malware su misura come BrickStorm e SharpStorm per mantenere un accesso nascosto a lungo. La CISA non ha descritto gli attacchi e indica come sconosciuto l'uso in campagne ransomware. È la stessa advisory del 29 luglio che correggeva anche due falle critiche di vCenter, sfruttate poche settimane dopo, come avevamo scritto in un nostro precedente alert del 18 agosto sulle CVE-2026-59310 e CVE-2026-59309 di VMware vCenter.

Se ne deve preoccupare chi gestisce ESX 8.0 o 9.x, anche dentro VMware Cloud Foundation e vSphere Foundation, e non ha ancora applicato gli aggiornamenti di luglio. La falla non apre la porta a nessuno: conta dopo un'intrusione, quando le credenziali amministrative dell'hypervisor o di vCenter sono già in mano all'attaccante, e in quel caso toglie a chi indaga una parte della ricostruzione. Il dato è rilevante anche fuori dallo spionaggio, perché gli hypervisor ESXi sono un bersaglio abituale dei ransomware e chi li cifra ha lo stesso interesse a non lasciare tracce, anche se per ora nessuna fonte lega la CVE a campagne di questo tipo. Un aggiornamento applicato oggi, inoltre, non ricostruisce i log che non sono mai stati scritti: in un'analisi di compromissione su host non aggiornati, i log locali di ESXi vanno considerati incompleti.

• Versioni affette: VMware ESX 8.0 precedenti alla build ESXi80U3j-25429389; ESX 9.0.x precedenti alla ESXi-9.0.2.0100-25595025 e 9.1.x precedenti alla ESXi-9.1.0.0-25370933, anche in VMware Cloud Foundation e vSphere Foundation; VMware Cloud Foundation 5.x precedenti alla 5.2.4 (guida KB88287); VMware Telco Cloud Platform 5.0.x e 5.1.x senza la correzione KB449886.
• Azione raccomandata: aggiornare ESX alle build indicate nell'advisory VMSA-2026-0006 o successive, preferendo le più recenti, che correggono anche le altre falle della stessa advisory; inoltrare i log di ESXi e vCenter a un syslog o SIEM esterno, così che restino disponibili anche se l'host viene manomesso; limitare e sorvegliare gli account amministrativi di ESXi e vCenter, con autenticazione a più fattori dove possibile; nelle analisi di compromissione su host non aggiornati, incrociare i log dell'hypervisor con quelli di vCenter, degli apparati di rete e del sistema di backup invece di affidarsi solo ai primi.

Fonti: ACN, Broadcom, CISA, CrowdStrike, SecurityWeek, Help Net Security