← Все новости

Безопасность Эксплуатируется · CVE-2026-41709

CISA внесла в KEV уязвимость ESXi с оценкой 2.7: она позволяет действовать без следов в журналахCISA adds a CVSS 2.7 ESXi flaw to KEV: it lets admins act without leaving log entries

CVE-2026-41709 в VMware ESX сама по себе не даёт ни доступа, ни повышения прав. Но атакующий с правами администратора может выполнять часть операций без записи в журнал. CISA подтверждает эксплуатацию и требует обновиться до 11 ноября.CVE-2026-41709 in VMware ESX grants neither access nor privilege escalation, but an attacker with admin rights can perform some operations without them being logged. CISA confirms exploitation and sets an 11 November deadline.

28 октября CISA добавила в каталог эксплуатируемых уязвимостей CVE-2026-41709 в Broadcom VMware ESX. Случай необычный: оценка CVSS всего 2.7, класс — CWE-778 «Недостаточное журналирование».

Суть

Уязвимость не даёт ни первоначального доступа, ни повышения привилегий. Но атакующий, у которого уже есть права администратора, может выполнять часть операций без записи в журналы. Для злоумышленника на гипервизоре это инструмент заметания следов. Поэтому низкая оценка не означает низкий приоритет: именно по журналам ESXi потом расследуют вторжения.

Затронуты ветки ESX 8.0, 9.0 и 9.1, а также продукты на их основе: VMware Cloud Foundation, vSphere Foundation и Telco Cloud Platform. Подробностей об атаках CISA не публикует, связь с вымогателями не установлена. Федеральным ведомствам США дан срок до 11 ноября.

Исправленные сборки

  • 8.0 — ESXi80U3j-25429389;
  • 9.0 — ESXi-9.0.2.0100-25595025;
  • 9.1 — ESXi-9.1.0.0-25370933.

Помимо обновления, стоит отправлять журналы ESXi во внешний SIEM и следить за административными сессиями на гипервизорах.

On 28 October CISA added CVE-2026-41709 in Broadcom VMware ESX to its catalog of exploited vulnerabilities. It is an unusual entry: a CVSS score of just 2.7, class CWE-778 “Insufficient Logging”.

The flaw

It grants neither initial access nor privilege escalation. But an attacker who already has admin rights can perform some operations without them being logged. For an intruder on a hypervisor that is a way to cover tracks, so the low score doesn’t mean low priority: ESXi logs are exactly what incident responders rely on.

Affected are the ESX 8.0, 9.0 and 9.1 branches and products built on them: VMware Cloud Foundation, vSphere Foundation and Telco Cloud Platform. CISA shares no attack details, and ransomware use is unknown. US federal agencies have until 11 November.

Fixed builds

  • 8.0: ESXi80U3j-25429389;
  • 9.0: ESXi-9.0.2.0100-25595025;
  • 9.1: ESXi-9.1.0.0-25370933.

Beyond patching, ship ESXi logs to an external SIEM and monitor admin sessions on hypervisors.

Источники

Похожие новости