VMware ESX 日誌漏洞已遭實際利用，CrowdStrike 點名中國關聯駭客 Warp Panda

2026 / 10 / 30

編輯部

VMware ESX 日誌漏洞已遭實際利用，CrowdStrike 點名中國關聯駭客 Warp Panda

美國網路安全暨基礎設施安全局（CISA）於 10 月 28 日，把影響 Broadcom 旗下 VMware ESX 的漏洞 CVE-2026-41709 列入已知遭利用漏洞（KEV）目錄。資安廠商 CrowdStrike 指出，與中國有關的駭客組織 Warp Panda 早在 2026 年初，就把這項漏洞當成零時差漏洞使用，受害對象包括美國法律產業。

漏洞出在日誌記錄，CVSS 評分僅 2.7

CVE-2026-41709 的通用弱點評分系統（CVSS）分數為 2.7，屬於日誌記錄不足（insufficient logging）的漏洞：具備管理員權限的惡意人士，可藉此執行特定操作，卻不留下任何紀錄。Broadcom 在 2026 年 7 月的公告中說明，該問題已在相關版本完成修補。

CrowdStrike：目的是讓稽核軌跡看不到

CrowdStrike 在《2026 法律產業威脅態勢報告》（2026 Legal Threat Landscape Report）中指出，Warp Panda 早在 2026 年初便將 CVE-2026-41709 當作零時差漏洞利用，目的正是降低稽核軌跡（audit trail）的可見度。

報告指出，該組織鎖定對外曝露的邊緣設備（edge device），以零時差漏洞結合客製化惡意程式維持隱蔽而持續的存取，並主動規避偵測，手法包含繞過稽核日誌、竊取雲端工作階段權杖，以及註冊未經授權的多因素驗證（MFA）裝置。

從邊緣設備橫向移動到 vCenter 與 Microsoft 365

據外媒報導，Warp Panda 先透過邊緣設備取得初始存取權，再橫向移動至 VMware vCenter 環境，部署 BRICKSTORM、SharpStorm 等客製化惡意程式，以維持隱蔽而持久的存取。

另有部分入侵事件以雲端服務為目標：該組織先竊取使用者工作階段權杖，再藉此進入 Microsoft 365 環境，過程中不會觸發以憑證為基礎的告警。至少有一案例中，該組織在遭入侵的帳號上註冊新的 MFA 裝置，即使密碼後續被更改，仍能維持存取。

組織背景與近期動向

據外媒報導，Warp Panda 另有多個追蹤代號，包括 Armory Castle（前稱 UNC5221）、Clay Typhoon 與 VerdantBamboo，過去曾多次利用 Citrix NetScaler、Ivanti Connect Secure 等設備的零時差漏洞。

Google 旗下資安公司 Mandiant 本月稍早也將 BeyondTrust Remote Support 的零時差漏洞利用歸因於該組織。該漏洞屬於不當來源驗證（improper origin validation）瑕疵（CVE-2026-102764，CVSS 9.3），攻擊過程中會散布 SAWFLY、BARECLAW 等惡意程式。

CrowdStrike 指出，Warp Panda 對包括法律產業在內的多個美國產業實體，構成持續且具戰略重點的中國關聯網路間諜（cyber espionage）威脅。該公司說明，法律產業聚集客戶通訊、併購資料、訴訟策略與跨客戶的存取權限，對受國家指揮的對手而言，正是高價值的情報蒐集目標。