Co se stalo
Broadcom 29. července 2026 vydal bezpečnostní bulletin VMSA-2026-0006, který opravuje několik chyb ve virtualizačních produktech VMware. Jednou z nich je CVE-2026-41709 v hypervizoru VMware ESX, známém také jako ESXi. Podle výrobce může administrátor se zlými úmysly provést některé operace, aniž by se zapsaly do logu.
V létě chyba vypadala nenápadně, výrobce jí přidělil nízké skóre závažnosti. To se změnilo 28. října 2026, kdy ji americká agentura CISA zařadila do katalogu zneužívaných zranitelností. Podle The Hacker News tomu předcházelo zjištění firmy CrowdStrike, že chybu zneužila skupina Warp Panda napojená na Čínu při útocích na americký právní sektor.
CrowdStrike uvádí, že skupina chybu zneužívala jako zero-day, tedy ještě před vydáním opravy, už na začátku roku 2026. Cílem bylo omezit stopy v auditních záznamech. Evropská databáze zranitelností EUVD agentury ENISA chybu vede jako EUVD-2026-51107 a rovněž ji označuje za zneužívanou.
Proč je to nebezpečné
Jde o typ chyby označovaný jako nedostatečné protokolování událostí (CWE-778). Představte si firmu s kamerovým systémem. Tahle chyba nikomu neotevře dveře, ale kdo už má klíče, dokáže u některých kroků vypnout kameru. Když se ke klíčům dostane zloděj, může pracovat bez záznamu.
Útočník potřebuje administrátorský přístup k ESX, útok pak probíhá po síti. Samotná chyba server nepřevezme ani neukradne data. Pro útočníka je cenná tím, že se některé jeho kroky po průniku nezapíšou do logu. Podle CrowdStrike se Warp Panda dostává do sítí přes zařízení dostupná z internetu a používá vlastní škodlivý kód. The Hacker News doplňuje, že skupina pak přechází do prostředí VMware vCenter, aby si udržela nenápadný dlouhodobý přístup.
Skóre CVSS vyjadřuje technickou závažnost chyby na stupnici od 0 do 10. VMware ji podle CVSS 3.1 ohodnotil na 2,7, tedy nízká závažnost. Důvodem je, že útok vyžaduje vysoká oprávnění a sám o sobě má jen omezený dopad. O tom, zda se chyba v praxi zneužívá, ale skóre nic neříká.
Katalog CISA KEV (Known Exploited Vulnerabilities) obsahuje jen chyby, u kterých má CISA důkaz o skutečném zneužívání. Americké federální úřady je musí opravit do stanoveného termínu, zde do 11. listopadu 2026. Zda chybu využívají i ransomwarové skupiny, CISA zatím uvádí jako neznámé.
EPSS odhaduje pravděpodobnost zneužití v následujících 30 dnech. K 28. říjnu 2026 činila zhruba 0,3 %, což je víc než u přibližně 22 % hodnocených zranitelností. Protože zneužití je už potvrzené, berte EPSS jen jako doplňkový údaj.
Koho se to týká
Týká se to organizací, které provozují vlastní virtualizaci na VMware vSphere: hypervizor ESX (ESXi) na fyzických serverech, obvykle spravovaný přes vCenter. Typicky jde o firemní serverovny a datová centra, kde běží virtuální servery s účetnictvím, soubory, poštou nebo databázemi. Patří sem i poskytovatelé hostingu a privátního cloudu postaveného na VMware.
- VMware ESX (vSphere ESXi) ve větvích 9.1, 9.0 a 8.0 před opravenými sestaveními
- VMware Cloud Foundation a VMware vSphere Foundation (komponenta ESX), u Cloud Foundation 5.x před verzí 5.2.4
- VMware Telco Cloud Platform (komponenta ESX)
Desktopové produkty VMware Workstation a Fusion opravuje stejný bulletin kvůli jiným chybám, u CVE-2026-41709 je ale CISA ani The Hacker News neuvádějí. Větev ESXi 7.0 seznam opravených verzí v The Hacker News neuvádí. Pokud ji používáte, ověřte stav u podpory Broadcomu. Pokud VMware vůbec nepoužíváte, tato chyba se vás netýká.
Jak zjistit, zda jste zasaženi
Nejjednodušší je otevřít vSphere Client a vybrat hostitele. Na kartě Summary najdete verzi a číslo sestavení (build). Bez vCenter se přihlaste do webového ESXi Host Client, verze je na úvodní stránce hostitele. Sestavení porovnejte s opravenými verzemi v části o opravě.
Pokud už máte zapnutý přístup přes SSH nebo ESXi Shell, tyto příkazy jen vypíšou verzi a nic nemění:
vmware -vl
esxcli system version getPřehled všech hostitelů najednou získáte v PowerCLI po připojení k vCenter přes Connect-VIServer:
Get-VMHost | Select-Object Name, Version, BuildSSH kvůli kontrole nezapínejte natrvalo. Otevřený přístup ke správě hypervizoru je sám o sobě riziko.
Jak to opravit
Oprava je k dispozici. Podle přehledu The Hacker News, který vychází z bulletinu Broadcomu, je CVE-2026-41709 opravená v těchto verzích:
- VMware Cloud Foundation a vSphere Foundation 9.1: ESXi-9.1.0.0-25370933
- VMware Cloud Foundation a vSphere Foundation 9.0: ESXi-9.0.2.0100-25595025
- VMware ESX 8.0: ESXi80U3j-25429389
- VMware Cloud Foundation 5.x: 5.2.4
- VMware Telco Cloud Platform: ESXi80U3j-25429389
Stejný bulletin řeší i kritickou chybu CVE-2026-47876 v ESX (CVSSv3 podle Broadcomu 9,3). Opravují ji sestavení ESXi-9.1.0.0200-25557999, ESXi-9.0.2.0100-25595025, ESXi80U3k-25595708 a ESXi80U2f-25626445. Broadcom u vCenter uvádí, že záplaty jsou kumulativní. Pokud proto jdete rovnou na nejnovější sestavení, ověřte v bulletinu, zda řeší i CVE-2026-41709. Týká se to hlavně ESXi80U2f-25626445, které The Hacker News mezi opravami této chyby neuvádí. U vCenter bulletin opravuje dvě kritické chyby (CVSSv3 podle Broadcomu 9,8) ve verzích 9.1.0.0300, 9.0.2.0100, 8.0 U3k a 8.0 U2f. Dočasné řešení Broadcom neuvádí.
- Sepište všechny hostitele ESX a vCenter a jejich sestavení.
- Nejdřív aktualizujte vCenter, teprve potom hostitele ESX. U vSphere je to běžné pořadí a vCenter má ve stejném bulletinu kritické chyby.
- Před zásahem zálohujte konfiguraci a ověřte zálohy virtuálních serverů.
- Hostitele aktualizujte postupně: přesuňte virtuální stroje přes vMotion, přepněte hostitele do režimu údržby, nainstalujte záplatu přes vSphere Lifecycle Manager, restartujte a ověřte nové sestavení.
- Omezte administrátorský přístup: jen nezbytné účty, silná hesla a správa ESX a vCenter pouze z oddělené sítě, nikdy z internetu.
CISA stanovila americkým federálním úřadům termín 11. listopadu 2026. Pro vás to není povinnost, ale dobrý orientační bod.
Co když už jste mohli být napadeni
Podstatou této chyby je, že se některé kroky útočníka nezapíšou do logu. Čisté logy na ESX proto nejsou důkazem, že se nic nestalo. Konkrétní indikátory, například otisky souborů nebo IP adresy, CISA ani The Hacker News k této chybě zatím neuvádějí.
- Zařízení dostupná z internetu, jako VPN brány, firewally a vzdálený přístup: podle CrowdStrike přes ně Warp Panda vstupuje do sítě.
- vCenter: neznámé účty, nečekané změny oprávnění a podezřelé soubory. The Hacker News v této souvislosti zmiňuje škodlivý kód BRICKSTORM a SharpStorm.
- Hostitelé ESX: projděte lokální účty (
esxcli system account list) a nainstalované balíčky (esxcli software vib list) a hledejte, co neznáte. - Microsoft 365: nová MFA zařízení, která nikdo z vás neregistroval, a neobvyklá přihlášení. CrowdStrike uvádí, že skupina registruje podvržená MFA zařízení. Podle The Hacker News si tak drží přístup i po změně hesla.
- Porovnejte záznamy z firewallu, vCenter a externího syslog serveru. Nesoulad může prozradit, co v logu ESX chybí.
Pokud najdete cokoli podezřelého nebo zpracováváte citlivá data klientů, přizvěte odborníka na reakci na incidenty. Svépomocné čištění může zničit důkazy a útočníka jen varovat.