VMware ESXi spraga CVE-2026-41709: žemas įvertis, bet realiai išnaudota

Ką daro CVE-2026-41709?

„Broadcom“ aprašo tai kaip nepakankamo žurnalavimo (insufficient logging) pažeidžiamumą „VMware ESX“. Kenkėjiškas administratorius gali atlikti tam tikras operacijas, kurios nebus užregistruotos taip, kaip tikimasi. CVSS 3.1 bazinis įvertis yra 2,7, o „Broadcom“ sunkumą priskiria žemai kategorijai.

Ši spraga pati savaime neaprašo būdo iš interneto be prisijungimo perimti „ESXi“ hostą. Ji aktuali tada, kai užpuolikas jau turi administratoriaus teises arba jas įgijo kitu keliu: dalis veiksmų gali palikti mažiau pėdsakų, todėl incidento tyrimas tampa sudėtingesnis.

Kodėl naujiena iškilo dabar?

Spalio 28 d. CISA įtraukė CVE-2026-41709 į žinomų aktyviai išnaudojamų pažeidžiamumų katalogą. „CrowdStrike“ savo 2026 m. teisinių paslaugų sektoriaus grėsmių apžvalgoje nurodo, kad „WARP PANDA“ šią „ESXi“ komandų žurnalavimo apėjimo spragą išnaudojo kaip nulinės dienos pažeidžiamumą dar 2026 m. pradžioje. Ataskaita aprašo JAV organizacijų ir teisinių paslaugų sektoriaus taikinius; tai savaime neįrodo, kad paveiktos Lietuvos įmonės.

Šis atvejis primena, kad žurnalų kiekis nėra vienintelis atsakymas į klausimą „ar galėsime atkurti atakos eigą?“. Jei įvykis apskritai neužregistruojamas pažeidžiamame hoste, vietinio log siuntimas į atskirą serverį gali ir nepadėti — įrašo, kurį būtų galima persiųsti, gali nebūti. Todėl verta derinti pataisas, tapatybių kontrolę, centralizuotą telemetriją ir įrodymų iš kelių sluoksnių analizę.

Schema iliustruoja tyrimo logiką, o ne tikslią kiekvieno išnaudojimo seką. Išorinis žurnalų kaupiklis saugo tai, kas buvo išsiųsta; jis negali atkurti įvykio, kurio šaltinis nesukūrė.

Kokios versijos pataisytos?

„Broadcom“ saugumo pranešime nurodytos šios CVE-2026-41709 pataisytos versijos. Pataisos pasirinkimas priklauso nuo konkretaus produkto, šakos ir palaikymo būsenos, todėl prieš diegdami sutikrinkite savo aplinką su visu gamintojo atsakymų sąrašu.

Pastaba: lentelė yra santrauka, ne universali atnaujinimo instrukcija. Kai kurioms senesnėms ar specializuotoms šakoms gali reikėti asinchroninės pataisos arba palaikymo sutarties. Vadovaukitės naujausia „Broadcom“ VMSA-2026-0006 informacija.

Ką patikrinti virtualizacijos aplinkoje?

1. Surašykite visus hostus ir jų build numerius. Patikrinkite ne tik „vCenter“, bet ir kiekvieną „ESXi“ hostą, „Cloud Foundation“, „vSphere Foundation“ bei kitus naudojamus sprendimus.
2. Pritaikykite konkrečiai šakai skirtą pataisą. Planuokite diegimą pagal gamintojo instrukcijas, suderinamumą su aparatine įranga, tvarkyklėmis, saugyklomis ir virtualių mašinų apkrova.
3. Peržiūrėkite administratoriaus prieigas. Patikrinkite, kas turi ESXi/vCenter administratoriaus teises, ar paskyros naudojamos, ar nėra nepažįstamų prisijungimų, naujų paskyrų, SSH raktų ar pakeistų teisių.
4. Patikrinkite valdymo paviršiaus pasiekiamumą. ESXi ir vCenter valdymo sąsajos neturėtų būti tiesiogiai atviros viešajam internetui. Prieigą ribokite valdymo tinklu, VPN ir atskiromis administratoriaus paskyromis.
5. Saugokite nepriklausomus įrodymus. Siųskite palaikomus žurnalus į atskirą sistemą ir stebėkite vCenter, tapatybių, VPN, ugniasienės bei tinklo įvykius. Turėkite omenyje, kad trūkstamą įrašą iš pažeidžiamo šaltinio reikia vertinti kartu su kitais signalais.
6. Po atnaujinimo patikrinkite rezultatą. Patvirtinkite hostų build numerius, stebėkite paslaugų būklę ir užfiksuokite, kada bei kam pataisa pritaikyta.

Ką verta padaryti šiandien?

• Patikrinkite, ar naudojate „VMware ESXi“ ar kitą „Broadcom“ pranešime nurodytą produktą.
• Palyginkite veikiančius build numerius su gamintojo pataisų lentele.
• Jei pataisa dar neįdiegta, suplanuokite jos diegimą pagal savo aplinkos suderinamumą.
• Peržiūrėkite administratoriaus paskyras ir įsitikinkite, kad valdymo sąsajos pasiekiamos tik iš kontroliuojamų tinklų.
• Patikrinkite, kokius atskirus žurnalų ir telemetrijos šaltinius turėtumėte, jei dalis ESXi audito įrašų neatsirastų.