I log di ESXi possono tacere dopo una compromissione
CrowdStrike riferisce che Warp Panda ha sfruttato CVE-2026-41709 come zero-day in intrusioni contro organizzazioni statunitensi, inclusi studi legali, per ridurre la visibilità nei log di VMware ESXi. Dopo la segnalazione, CISA ha aggiunto la vulnerabilità al catalogo KEV.
Con accesso amministrativo, l’attaccante può compiere alcune operazioni senza che ESXi le registri: il registro può quindi apparire più tranquillo dell’attività reale. La falla è corretta nelle versioni ESXi-9.1.0.0-25370933, ESXi-9.0.2.0100-25595025 ed ESXi80U3j-25429389, o successive; la patch non rende completi i registri del periodo già esposto.
Per gli studi legali, l’intrusione può proseguire oltre VMware: CrowdStrike descrive Warp Panda mentre affianca l’accesso da dispositivi perimetrali esposti al furto di token di sessione cloud e alla registrazione di dispositivi MFA non autorizzati. I log ESXi, da soli, non bastano quindi a ricostruire con certezza le attività dell’attaccante.