ABD Siber ve Altyapı Güvenliği Ajansı CISA, CrowdStrike’ın Çin bağlantılı tehdit aktörü Warp Panda’nın ABD hukuk sektörünü hedefleyen saldırılarda açığı silahlandırdığını ortaya koymasının ardından, Broadcom VMware ESX’i etkileyen güvenlik açığını Çarşamba günü Bilinen Sömürülen Açıklar kataloğuna ekledi.
Söz konusu açık CVE-2026-41709 (CVSS puanı: 2,7). Yetersiz kayıt tutma açığı olan bu zafiyet, yönetici erişimine sahip kötü niyetli bir aktörün bazı işlemleri kayıt altına alınmadan yapmasına olanak tanıyabilir.
Broadcom, temmuz 2026’da yayımladığı danışmada sorunun aşağıdaki sürümlerde giderildiğini açıkladı.
VMware Cloud Foundation SXi-9.1.0.0-25370933 and ESXi-9.0.2.0100-25595025
VMware vSphere Foundation SXi-9.1.0.0-25370933 and ESXi-9.0.2.0100-25595025
VMware ESX ESXi80U3j-25429389
VMware Cloud Foundation 5.2.4
VMware Telco Cloud Platform ESXi80U3j-25429389
Bu gelişme, Warp Panda’nın CVE-2026-41709’u 2026’nın başlarında sıfırıncı gün açığı olarak kullanarak denetim izi görünürlüğünü azaltmayı amaçladığını ortaya koyan CrowdStrike’ın 2026 Hukuk Tehdit Manzara Raporu’na yanıt olarak geldi.
Raporda The Hacker News ile paylaşılan açıklamada CrowdStrike, Warp Panda’nın "sıfırıncı gün açıkları ve özel kötü amaçlı yazılımları kullanarak internete bakan kenar cihazları sömürdüğünü ve gizli, sürekli erişim sağladığını" belirtti. Düşman aktörün "denetim kaydını atlayarak, bulut oturum belirteçleri toplayarak ve sahte çok faktörlü kimlik doğrulama (MFA) cihazları kaydederek tespitten aktif şekilde kaçındığı" da eklendi.
Armory Castle (eski adıyla UNC5221), Clay Typhoon ve VerdantBamboo olarak da izlenen tehdit aktörünün Citrix NetScaler ve Ivanti Connect Secure cihazlarında sıfırıncı gün açıklarını silahlandırma konusunda köklü bir geçmişi bulunuyor.
Bu ayın başlarında Google’a bağlı Mandiant da saldırgan grubunu, BeyondTrust Remote Support’taki kritik uygunsuz kaynak doğrulama açığının (CVE-2026-102764, CVSS puanı: 9,3) sıfırıncı gün sömürüsüne bağladı ve bu yolla SAWFLY ve BARECLAW gibi kötü amaçlı yazılım ailelerinin dağıtıldığı belirtildi.
Warp Panda’nın düzenlediği saldırılar, ilk erişimi elde etmek için internete bakan kenar cihazlarının sömürülmesiyle başlıyor. Ardından tehdit aktörü VMware vCenter ortamlarına yönelerek dikkat çekmeden sürekli erişim sürdürmek için BRICKSTORM ve SharpStorm gibi özel kötü amaçlı yazılımları dağıtıyor.
Seçili sızmalarda kimlik bilgisi temelli uyarı oluşturmadan Microsoft 365 ortamlarına erişmek için kullanıcı oturum belirteçlerini çıkarmayı amaçlayan bulut hizmetleri hedeflendi. En az bir olayda Warp Panda’nın, parola değiştirilse bile sürekli erişim sağlamak için ele geçirilmiş bir hesapta yeni bir MFA cihazı kaydettiği belirtiliyor.
CrowdStrike, "Warp Panda, hukuk sektörü de dahil olmak üzere birden fazla sektördeki ABD kurumlarına yönelik sürdürülen ve stratejik olarak odaklanmış Çin bağlantılı siber casusluk tehdidi oluşturuyor" dedi.
"Hukuk sektörünün müvekkil iletişimleri, birleşme ve satın alma materyalleri, aktif dava stratejisi ve müvekkiller arası erişim yoğunluğu, aşağı yönlü operasyonel fayda sağlayacak istihbarat arayan devlet destekli bir düşman için yüksek değerli bir toplama hedefi haline getiriyor."
CVE-2026-41709’un aktif olarak sömürülmesi nedeniyle Federal Sivil Yürütme Şubesi (FCEB) kurumlarının 11 Kasım 2026’ya kadar düzeltmeleri uygulaması öneriliyor.
