חולשה בציון 2.7 מתוך 10 אינה מה שמטפלים בו ראשון. CVE-2026-41709 ב-VMware ESX אינה מאפשרת להיכנס לשום מקום ואינה מאפשרת הרצת קוד, היא רק משאירה חלק מהפעולות של מנהל מחוץ ליומן. לפי CrowdStrike, קבוצת ריגול סינית ניצלה אותה כחולשת יום-אפס בפריצות למשרדי עריכת דין בארצות הברית, וב-28 באוקטובר 2026 היא נכנסה לרשימת ה-KEV של CISA.

סקירה כללית

VMware ESX הוא ה-hypervisor שמריץ מכונות וירטואליות בבסיס מרכזי הנתונים. היומן הוא מה שמאפשר לשחזר אחר כך מי עשה מה ומתי, ובחקירה של פריצה הוא לרוב הדבר היחיד שנשאר. החולשה פוגעת בדיוק בו: לפי Broadcom, מנהל עם הרשאות גבוהות יכול לבצע פעולות בלי שהן יירשמו. לסוג הזה קוראים CWE-778, רישום חסר ביומן: לא באג שמאפשר משהו חדש, אלא פעולה מותרת שאינה מתועדת.

ב-CrowdStrike מייחסים את הניצול לקבוצה שהם מכנים WARP PANDA, הקשורה לסין. לפי הדוח שלהם, הקבוצה נכנסת דרך התקני קצה שחשופים לאינטרנט, מתקדמת ל-VMware vCenter ומשתילה שם נוזקות. בחלק מהמקרים היא מה שהשאיר את הפעולות האלה מחוץ ליומן.

מזהה: CVE-2026-41709
סוג: רישום חסר ביומן (CWE-778)
מוצר: VMware ESX
גרסאות מושפעות: ESX 8.0, 9.0.x ו-9.1.x, VCF 5.x, Telco Cloud Platform 5.0.x ו-5.1.x
גרסה מתוקנת: ESXi80U3j-25429389, ESXi-9.0.2.0100-25595025, ESXi-9.1.0.0-25370933
ניצול בפועל: כן, ברשימת ה-KEV של CISA מ-28 באוקטובר 2026

ציר זמן

תחילת 2026: לפי CrowdStrike, WARP PANDA מנצלת את החולשה כיום-אפס, לפני שקיים לה תיקון.
29 ביולי 2026: Broadcom מפרסמת את VMSA-2026-0006, מדרגת את החולשה Low בציון 2.7 ומזכה בדיווח את Ian Barton מ-CrowdStrike.
28 באוקטובר 2026: CrowdStrike מפרסמת את הדוח שחושף את הניצול, ו-CISA מכניסה את החולשה לרשימת ה-KEV.
11 בנובמבר 2026: המועד שקבעה CISA לטיפול בגופים הפדרליים בארצות הברית.

איך הניצול עובד

כאן נגמר מה שפורסם. לא Broadcom ולא CrowdStrike אמרו אילו פעולות נשמטות מהרישום ואיך עוקפים אותו, ו-CISA לא תיארה את הניצול שראתה. מה שכן ידוע הוא ההקשר: החולשה דורשת הרשאות ניהול מראש, כלומר אינה הדלת אלא מה שעושים אחרי שנכנסים. WARP PANDA השיגה את ההרשאות דרך התקני הקצה ו-vCenter, והפעילה את החולשה כדי שהפעולות הבאות לא יופיעו ביומן. לפי CrowdStrike הקבוצה משלבת את זה עם חילוץ ה-token-ים של שירותי ענן ורישום מכשירי אימות דו-שלבי משלה. זה אינו כלי תקיפה, זה מחק.

ניתוח ציון ה-CVSS

ציון CVSS: 2.7

הציון הוא של Broadcom, משום ש-NVD עדיין לא השלימה ניתוח משלה, והוא נמוך כי הסולם מודד מה החולשה נותנת לתוקף: היא דורשת הרשאות ניהול מראש ואינה פוגעת בסודיות או בזמינות. מה שהיא לוקחת מהמגן אינו נמצא בסולם בכלל.

איפה למצוא Proof of Concept (PoC)

אין PoC ציבורי, ולא במובן של "עוד לא פורסם אחד": המנגנון לא נחשף, ובלי לדעת אילו פעולות נשמטות מהיומן אין מה לשחזר. ההתייחסות הטכנית היחידה לניצול היא הדוח של CrowdStrike, ולצידו הודעת האבטחה של Broadcom עם הגרסאות המתוקנות.

בקטלוג ה-KEV יש 1,762 חולשות, וזאת היחידה שמסווגת שם כ-CWE-778. מי שמסדר עדיפויות לפי הציון היה מדלג עליה שלושה חודשים.