Çin Kaynaklı Saldırganlar Denetim İzini Görülebilirliği Azaltmak için VMware ESX Sıfır-Gün Açığını İstismar Etti.

Gorsel Kaynagi: The Hacker News

Amerika Birleşik Devletleri Siber Güvenlik ve Güvenlik İdaresi (CISA), Çin bağlantılı Warp Panda adlı tehdit aktörünün ABD hukuk sektörünü hedefleyen saldırılarda bu açığı silahlandırması ardından, Broadcom VMware ESX’i etkileyen bir güvenlik açığını Bilinen İstismar Edilen Açıklar (KEV) kataloğuna ekledi.

Söz konusu açık CVE-2026-41709 (CVSS puanı: 2.7), yönetici erişimine sahip kötü niyetli bir aktörün belirli işlemleri loglanmadan gerçekleştirmesine izin verebilecek yetersiz loglama açığıdır.

Temmuz 2026’da yayınlanan bir açıklamada Broadcom, sorunun aşağıdaki sürümlerde giderildiğini açıkladı –

• VMware Cloud Foundation SXi-9.1.0.0-25370933 ve ESXi-9.0.2.0100-25595025
• VMware vSphere Foundation SXi-9.1.0.0-25370933 ve ESXi-9.0.2.0100-25595025
• VMware ESX ESXi80U3j-25429389
• VMware Cloud Foundation 5.2.4
• VMware Telco Cloud Platform ESXi80U3j-25429389

Gelişme, CrowdStrike’ın 2026 Hukuki Tehdit Manzarası Raporu’na yanıt olarak geldi; bu raporda Warp Panda’ın 2026’nın başlarında denetim izi görünürlüğünü azaltmayı hedefleyerek CVE-2026-41709’u bir zero-day açığı olarak istismar ettiği ortaya çıktı.

Rapor, The Hacker News ile paylaşılan açıklamada Warp Panda’nın “internet’e açık uç cihazları zero-day açıkları ve özel kötü yazılımlar kullanarak gizli, kalıcı erişimi sürdürdüğünü” ve rakibin “denetim loglamasını atlayarak, bulut oturum belirteçlerini toplayarak ve sahte çok faktörlü kimlik doğrulama (MFA) cihazları kaydederek aktif olarak tespit edilmeden kaçındığını” belirtti.

Eski UNC5221, Clay Typhoon ve VerdantBamboo olarak da izlenen tehdit aktörü, Citrix NetScaler ve Ivanti Connect Secure cihazlarında zero-day açıklarını silahlandırma konusunda uzun bir geçmişe sahip.

Bu ayın başlarında Google’a ait Mandiant, aynı hacking ekibini BeyondTrust Remote Support’taki kritik köken doğrulama hatası açığını (CVE-2026-102764, CVSS puanı: 9.3) istismar ederek SAWFLY ve BARECLAW gibi kötü yazılım ailelerini ulaştırmaktan da sorumlu tuttu.

Warp Panda tarafından düzenlenen saldırılar, başlangıç erişimi sağlamak için internete açık uç cihazların sömürülmesini, ardından tehdit aktörünün VMware vCenter ortamlarına geçerek BRICKSTORM ve SharpStorm gibi özel kötü amaçlı yazılımları, dikkat çekmeden kalıcı erişimi sürdürmek amacıyla dağıtmasını içeriyor.

Seçili sızmalar, aynı zamanda kullanıcı oturum belirteçlerinin Microsoft 365 ortamlarına erişmek için çıkarılması hedeflenen bulut hizmetlerinin hedef almasını da içermiş; kimlik bilgisi temelli uyarılar tetiklenmeden bu erişimin sağlanması amaçlanmış. En az bir vakada, Warp Panda’nın hesap sızdırıldıktan sonra kalıcı erişim kurmak amacıyla, şifre değiştirilse bile, ihlal edilen bir hesaba yeni bir MFA cihazı kaydettiği belirtiliyor.

“Warp Panda, hukuk sektörü de dahil olmak üzere birden fazla sektördeki ABD hedeflerine yönelik, sürdürülebilir ve stratejik odaklı bir Çin kökenli siber istihbarat tehdidi temsil ediyor,” dedi CrowdStrike.

“Hukuk sektörü; müşteri iletişimleri, birleşme ve satın alma materyalleri, aktif dava stratejileri ve müşteri çapında erişim açısından, aşağı yönde operasyonel fayda sağlayacak istihbarat arayan bir devlet yönlendirmeli düşmanın yüksek değerli toplama hedefi haline geliyor.”

Aktif sömürülen CVE-2026-41709 bağlamında, Federal Sivil Yönetim Kolu (FCEB) kurumlarına yamaların 11 Kasım 2026 tarihine kadar uygulanması öneriliyor.