Čo sa stalo
Broadcom 29. júla 2026 vydal bezpečnostný bulletin VMSA-2026-0006, ktorý opravuje niekoľko chýb vo virtualizačných produktoch VMware. Jednou z nich je CVE-2026-41709 v hypervízore VMware ESX, známom aj ako ESXi. Podľa výrobcu môže administrátor so zlými úmyslami vykonať niektoré operácie bez toho, aby sa zapísali do logov.
V lete chyba pôsobila nenápadne, výrobca jej pridelil nízke skóre závažnosti. To sa zmenilo 28. októbra 2026, keď ju americká agentúra CISA zaradila do katalógu zneužívaných zraniteľností. Podľa The Hacker News tomu predchádzalo zistenie firmy CrowdStrike, že chybu zneužila skupina Warp Panda spájaná s Čínou pri útokoch na americký právny sektor.
CrowdStrike uvádza, že skupina chybu zneužívala ako zero-day, teda ešte pred vydaním opravy, už začiatkom roka 2026. Cieľom bolo obmedziť stopy v auditných záznamoch. Európska databáza zraniteľností EUVD agentúry ENISA chybu vedie ako EUVD-2026-51107 a takisto ju označuje za zneužívanú.
Prečo je to nebezpečné
Ide o typ chyby nazývaný nedostatočné zaznamenávanie udalostí (CWE-778). Predstavte si firmu s kamerovým systémom. Táto chyba nikomu neotvorí dvere, ale kto už má kľúče, dokáže pri niektorých krokoch vypnúť kameru. Keď sa ku kľúčom dostane zlodej, môže pracovať bez záznamu.
Útočník potrebuje administrátorský prístup k ESX, útok potom ide cez sieť. Samotná chyba server neprevezme ani neukradne dáta. Pre útočníka je cenná tým, že niektoré jeho kroky po prieniku sa nezapíšu do logov. Podľa CrowdStrike sa Warp Panda dostáva do sietí cez zariadenia dostupné z internetu a používa vlastný škodlivý kód. The Hacker News dopĺňa, že skupina potom prechádza do prostredí VMware vCenter, aby si udržala nenápadný dlhodobý prístup.
Skóre CVSS vyjadruje technickú závažnosť chyby na stupnici od 0 do 10. VMware ju podľa CVSS 3.1 ohodnotil na 2,7, teda nízka závažnosť. Dôvodom je, že útok vyžaduje vysoké oprávnenia a sám osebe má len obmedzený dopad. O tom, či sa chyba v praxi zneužíva, však skóre nehovorí nič.
Katalóg CISA KEV (Known Exploited Vulnerabilities) obsahuje len chyby, pri ktorých má CISA dôkaz o skutočnom zneužívaní. Americké federálne úrady ich musia opraviť do stanoveného termínu, tu do 11. novembra 2026. Či chybu využívajú aj ransomvérové skupiny, CISA zatiaľ uvádza ako neznáme.
EPSS odhaduje pravdepodobnosť zneužitia v nasledujúcich 30 dňoch. K 28. októbru 2026 bola zhruba 0,3 %, čo je viac ako pri približne 22 % hodnotených zraniteľností. Keďže zneužitie je už potvrdené, berte EPSS iba ako doplnkový údaj.
Koho sa to týka
Týka sa to organizácií, ktoré prevádzkujú vlastnú virtualizáciu na VMware vSphere: hypervízor ESX (ESXi) na fyzických serveroch, zvyčajne spravovaný cez vCenter. Typicky ide o firemné serverovne a dátové centrá, kde bežia virtuálne servery s účtovníctvom, súbormi, poštou či databázami. Patria sem aj poskytovatelia hostingu a privátneho cloudu postaveného na VMware.
- VMware ESX (vSphere ESXi) vo vetvách 9.1, 9.0 a 8.0 pred opravenými zostaveniami
- VMware Cloud Foundation a VMware vSphere Foundation (zložka ESX), pri Cloud Foundation 5.x pred verziou 5.2.4
- VMware Telco Cloud Platform (zložka ESX)
Desktopové produkty VMware Workstation a Fusion opravuje ten istý bulletin kvôli iným chybám, pri CVE-2026-41709 ich však CISA ani The Hacker News neuvádzajú. Vetvu ESXi 7.0 zoznam opravených verzií v The Hacker News neuvádza. Ak ju používate, overte stav u podpory Broadcomu. Ak VMware vôbec nepoužívate, táto chyba sa vás netýka.
Ako zistiť, či ste zasiahnutí
Najjednoduchšie je otvoriť vSphere Client a vybrať hostiteľa. Na karte Summary nájdete verziu a číslo zostavenia (build). Bez vCenter sa prihláste do webového ESXi Host Client, verzia je na úvodnej stránke hostiteľa. Zostavenie porovnajte s opravenými verziami v časti o oprave.
Ak už máte zapnutý prístup cez SSH alebo ESXi Shell, tieto príkazy iba vypíšu verziu a nič nemenia:
vmware -vl
esxcli system version getPrehľad všetkých hostiteľov naraz získate v PowerCLI po pripojení k vCenter cez Connect-VIServer:
Get-VMHost | Select-Object Name, Version, BuildSSH kvôli kontrole nezapínajte natrvalo. Otvorený prístup k správe hypervízora je sám osebe riziko.
Ako to opraviť
Oprava je k dispozícii. Podľa prehľadu The Hacker News, ktorý vychádza z bulletinu Broadcomu, je CVE-2026-41709 opravená v týchto verziách:
- VMware Cloud Foundation a vSphere Foundation 9.1: ESXi-9.1.0.0-25370933
- VMware Cloud Foundation a vSphere Foundation 9.0: ESXi-9.0.2.0100-25595025
- VMware ESX 8.0: ESXi80U3j-25429389
- VMware Cloud Foundation 5.x: 5.2.4
- VMware Telco Cloud Platform: ESXi80U3j-25429389
Ten istý bulletin rieši aj kritickú chybu CVE-2026-47876 v ESX (CVSSv3 podľa Broadcomu 9,3). Opravujú ju zostavenia ESXi-9.1.0.0200-25557999, ESXi-9.0.2.0100-25595025, ESXi80U3k-25595708 a ESXi80U2f-25626445. Broadcom pri vCenter uvádza, že záplaty sú kumulatívne. Ak preto idete rovno na najnovšie zostavenie, overte v bulletine, či rieši aj CVE-2026-41709. Týka sa to najmä ESXi80U2f-25626445, ktoré The Hacker News medzi opravami tejto chyby neuvádza. Pre vCenter bulletin opravuje dve kritické chyby (CVSSv3 podľa Broadcomu 9,8) vo verziách 9.1.0.0300, 9.0.2.0100, 8.0 U3k a 8.0 U2f. Dočasné riešenie Broadcom neuvádza.
- Spíšte všetkých hostiteľov ESX a vCenter a ich zostavenia.
- Najprv aktualizujte vCenter, až potom hostiteľov ESX. Pri vSphere je to bežné poradie a vCenter má v tom istom bulletine kritické chyby.
- Pred zásahom zálohujte konfiguráciu a overte zálohy virtuálnych serverov.
- Hostiteľov aktualizujte postupne: presuňte virtuálne stroje cez vMotion, prepnite hostiteľa do režimu údržby, nainštalujte záplatu cez vSphere Lifecycle Manager, reštartujte a overte nové zostavenie.
- Obmedzte administrátorský prístup: len nevyhnutné účty, silné heslá a správa ESX a vCenter iba z oddelenej siete, nikdy z internetu.
CISA stanovila americkým federálnym úradom termín 11. novembra 2026. Pre vás to nie je povinnosť, ale dobrý orientačný bod.
Čo ak už ste mohli byť napadnutí
Podstatou tejto chyby je, že niektoré kroky útočníka sa nezapíšu do logov. Čisté logy na ESX preto nie sú dôkazom, že sa nič nestalo. Konkrétne indikátory, napríklad odtlačky súborov či IP adresy, CISA ani The Hacker News k tejto chybe zatiaľ neuvádzajú.
- Zariadenia dostupné z internetu, ako VPN brány, firewally a vzdialený prístup: podľa CrowdStrike cez ne Warp Panda vstupuje do siete.
- vCenter: neznáme účty, nečakané zmeny oprávnení a podozrivé súbory. The Hacker News v tejto súvislosti spomína škodlivý kód BRICKSTORM a SharpStorm.
- Hostitelia ESX: prejdite lokálne účty (
esxcli system account list) a nainštalované balíky (esxcli software vib list) a hľadajte, čo nepoznáte. - Microsoft 365: nové MFA zariadenia, ktoré nikto z vás neregistroval, a neobvyklé prihlásenia. CrowdStrike uvádza, že skupina registruje podvrhnuté MFA zariadenia. Podľa The Hacker News si tak drží prístup aj po zmene hesla.
- Porovnajte záznamy z firewallu, vCenter a externého syslog servera. Nesúlad môže prezradiť, čo v logoch ESX chýba.
Ak nájdete čokoľvek podozrivé alebo spracúvate citlivé dáta klientov, prizvite odborníka na reakciu na incidenty. Svojpomocné čistenie môže zničiť dôkazy a útočníka iba varovať.